Source: https://netzpolitik.org/2016/cybersicherheitsstrategie-bundesregierung-laesst-parlament-ueber-planungen-im-dunkeln/
Timestamp: 2019-11-22 16:22:59
Document Index: 186009927

Matched Legal Cases: ['§ 3', '§ 3', '§ 4', '§ 3', '§ 3', '§ 100', '§ 100', '§ 100', '§ 7', 'Art. 12', '§ 3', '§ 7', '§ 7']

Cybersicherheitsstrategie: Bundesregierung lässt Parlament über Planungen im Dunkeln Cybersicherheitsstrategie: Bundesregierung lässt Parlament über Planungen im Dunkeln – netzpolitik.org
24.08.2016 um 15:04 Uhr - Anna Biselli - in Überwachung - 3 Ergänzungen
Derzeit wird innerhalb der Bundesregierung die Cybersicherheitsstrategie von 2011 überarbeitet. Im Herbst soll die Kabinettsabstimmung über das Regierungsstrategiepapier anstehen. Vorab berichteten im Juli Zeit Online und Deutschlandfunk über das Papier.
In einer Kleinen Anfrage hat Jan Korte, der stellvertretende Vorsitzende der Linksfraktion im Bundestag, versucht, mehr über die Pläne der Regierung für die Cybersicherheit Deutschlands zu erfahren. Die Antworten sind nur mäßig informativ, wenn sie überhaupt öffentlich beantwortet werden. Sie sagen aber klar und deutlich, dass die Cybersicherheitsstrategie ohne jegliche parlamentarische Beratung beschlossen werden soll.
Reform des Cyber-Abwehrzentrums
Derzeit ist das Cyber-Abwehrzentrum (Cyber-AZ) primär als gescheitertes, ineffizientes Projekt bekannt. Ursprünglich sollte es Kompetenzen zur Cyberabwehr aus verschiedenen Behörden bündeln, der Bundesrechnungshof kritisierte es jedoch als ungeeignet. Die Gründung des Cyber-AZs war ein Resultat aus der letzten Cybersicherheitsstrategie, in der überarbeiteten Version soll es nun reformiert werden. Konkrete Angaben will die Regierung aber nicht machen, mit Verweis auf die noch nicht abgeschlossenen Beratungen.
Zumindest, so erwidert sie allgemein, werde die Kritik des Bundesrechnungshofs berücksichtigt. Sie merkt aber auch an, dass das Bundesinnenministerium (BMI) schon vor dem Bericht des Rechnungshofs damit begonnen habe, das Cyber-AZ zu evaluieren. Welches Ergebnis die Evaluation hatte, verrät sie nicht, aber:
Diese Evaluierung hat bereits zu einer Verbesserung der Arbeit im Cyber-AZ geführt und ist als laufender Prozess der Fortentwicklung noch nicht abgeschlossen.
Leider geht aus den Antworten der Regierung nicht hervor, inwiefern die Arbeit des Cyber-AZ verbessert wurde, dabei wäre das vor allem zur Rechtfertigung des Cyber-AZs eine interessante Information, auch und gerade für die Öffentlichkeit. Ein Kritikpunkt war immer wieder, dass das Cyber-AZ niemals mit eigenen Mitteln ausgestattet wurde, weder personell noch finanziell, und so vollständig von den zugehörigen Behörden getragen werden musste. Laut einem Papier des Haushaltsausschusses, das uns vorliegt, hat sich daran nichts verändert.
An der Beteiligung der Bundeswehr im Cyber-AZ, soviel wird verraten, ändert sich nichts. Dabei fiel vor allem sie dadurch auf, dass sie niemals an den Lagebesprechungen im Cyber-AZ teilgenommen hatte.
Es verwundert, dass uns das Bundesamt für Sicherheit in der Informationstechnik (BSI) schon im Juni Konkretes zur geplanten Neustrukturierung des Cyber-AZs mitgeteilt hat. Auf die Frage, welche Behörden und Institutionen außer dem Bundesamt für Verfassungsschutz (BfV), Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, Bundeskriminalamt (BKA), der Bundespolizei, Zollkriminalamt, dem Bundesnachrichtendienst und der Bundeswehr im Cyberabwehr-Zentrum beteiligt sind beziehungsweise beteiligt werden sollen, antwortete man uns:
Im Zuge der Weiterentwicklung des Cyber-AZ werden auch die aufsichtsführenden Stellen über die Kritischen Infrastrukturen in Deutschland daran angebunden. Die aufsichtführenden Stellen sind nicht in das Tagesgeschäft des Cyber-AZ eingebunden, sondern werden anlassabhängig einbezogen.
Dem Parlament verriet die Regierung nichts davon, „detaillierte Ausführungen zum Umfang der Umstrukturierung und zur Umstrukturierung selbst“ könne man nicht machen.
Ein inhärentes Problem des Cyber-AZ ist die Trennung zwischen den beteiligten Nachrichtendiensten und polizeilichen Akteuren. In einer Institution, in der es vorrangig um Informationsaustausch geht, muss das kritisch in Frage gestellt werden. Die Bundesregierung verweist aber immer wieder darauf, dass die Behörden „unter strikter Wahrung ihrer jeweiligen gesetzlichen Aufgaben“ kooperieren. Wie das umgesetzt wird, verrät sie nicht.
Schnelle Eingreiftruppen – die Militarisierung der Cyberabwehr
Eine weitere Aufgabe des Cyber-AZs ist die Koordination der sogenannten Quick Reaction Forces (QRF) oder zu deutsch: schnellen Eingreiftruppen. Der Militärbegriff steht für Truppen, die innerhalb kürzester Zeit reagieren können – rund um die Uhr. Die QRF sollen bei BfV, BKA und BSI eingerichtet werden, wobei sie beim Verfassungsschutz „Cyber-Team“ und beim BSI „Mobile Incident Response Team“ (MIRT) genannt werden.
Im BKA soll es noch dieses Jahr mit der QRF losgehen, eine Rufbereitschaft „aus vier Cybercrime-Experten des BKA“ soll jederzeit zur Verfügung stehen. Was die Aufgaben des QRF sein sollen, wird nicht beantwortet. In der Berichterstattung über einen geleakten Entwurf der Cybersicherheitsstrategie hieß es:
Die Einheit des BKA, Quick Reaction Force genannt, soll Strafverfolger unterstützen und als digitale Polizei bei kriminellen Angriffen Daten sicherstellen.
Derzeit liegt die Cybercrime-Bekämpfung vor allem in der Referatsgruppe „Cybercrime“, die 2012 in der Abteilung „Schwere und Organisierte Kriminalität“ angesiedelt wurde. Als Ansprechpartner und Koordinatoren fungieren „Zentrale Ansprechpartner Cybercrime“, die sowohl im BKA als auch in den Landeskriminalämtern platziert sind.
Im BSI ist die Einsatzbereitschaft des MIRT bis 2017 anvisiert, es soll im Ernstfall an der Wiederherstellung kritischer Infrastruktur mitwirken. Für Genaueres seien noch die parlamentarischen Beratungen des Haushaltsentwurfs für 2017 abzuwarten. Hier sind nach derzeitigem Stand rund 107 Millionen Euro für das BSI eingeplant. Zusätzlich soll es „Aufstockungen für relevante Sicherheitsbehörden“ – zu denen auch das BSI gehört – in Höhe von rund 213 Millionen Euro geben. Wie viel dieser Gelder für den Aufbau des MIRT veranschlagt sind, ist noch unbekannt.
Bisher beschäftigen sich im BSI vor allem die Abteilungen CK wie „Cybersicherheit und Kritische Infrastrukturen“ und KT wie „Krypto-Technologie“ mit Cyberaufgaben, je nach Aufgabe sind aber auch andere Abteilungen in sicherheitsrelevante Vorgänge involviert.
Was es mit den QRF des Verfassungsschutzes auf sich hat, verrät die Bundesregierung nicht öffentlich, um auch „möglicherweise gegnerisch gesinnten Kräften“ keine Informationen über die Arbeit der deutschen Nachrichtendienste zu offenbaren. Während diese Information als „Nur für den Dienstgebrauch“ eingestuft ist, schafft es die Information, ob der BND „Lagebildaufklärung“ in fremden Netzen betreibt und ob er dabei im Konfliktfall mit der Bundeswehr kooperiert, auf den Verschlusssachen-Grad „Geheim“. Wir enthüllten bereits im letzten Jahr, wie der BND mit seiner „Strategischen Initiative Technik“ seine Internetüberwachung massiv ausbaut. Dazu gehören das Abschnorcheln von Glasfasern, die Rasterung von Internet-Daten in Echtzeit, das Knacken von Verschlüsselung und das Hacken von Computern.
Viele neue Cyberabteilungen, doch woher soll das Personal kommen?
Nicht nur im Rahmen des Cyber-Abwehrzentrums und in Sicherheitsbehörden werden neue Cyberabteilungen geschaffen. Im BMI gibt es seit 2014 insgesamt fünf neue Referate, die sich mit dem „Bereich Cyber“ beschäftigen – davon vier in der Abteilung Informationstechnik, Digitale Gesellschaft und Cybersicherheit und eines in der Abteilung Öffentliche Sicherheit. Neues Personal dafür wurde kaum angeworben, man hat sie „vorrangig durch Straffung der bisherigen Aufbauorganisation“ verschoben. Fragesteller Jan Korte findet das unambitioniert:
Das Ministerium reagiert mit Umstrukturierungen auf die Herausforderung durch Cyber-Bedrohungen – doch dafür notwendiges Personal wird nicht neu angeworben, sondern lediglich intern gewonnen. Das zeugt nicht wirklich davon, dass das Thema besonders ernst genommen wird.
Die Anwerbung von Personal für öffentliche Stellen ist ein lange bekanntes Problem, nicht umsonst wirbt unter anderem die Bundeswehr so aggressiv um jungen IT-Nachwuchs. Da man die Lücken bisher nicht aus eigener Kraft schließen kann, werden immer wieder Fachkräfte aus externen Firmen hinzugezogen. So musste das BSI beim Kampf gegen den Bundestagshack Personal der Telekom und der Firma BFK beiziehen, um das Problem zu bewältigen. Die Regierung ist auch weiter gewillt, „private vertrauenswürdige IT-Firmen“ in die Arbeit des BSI einzubinden, wenn die eigenen Kapazitäten erschöpft sind. Ein Problem für die Datensicherheit wird darin nicht gesehen.
Die Bundeswehr, die mit ihrer Digitale-Kräfte-Kampagne versuchte, etwa 1.500 Stellen im IT-Bereich zu besetzen, lässt bisher „den Großteil ihrer Informationstechnik im Inland“ von der BWI Informationstechnik GmbH (BWI IT) betreiben. Weitere erwähnenswerte Unterstützung gibt es von Symantec und Microsoft. BWI IT gehört zu 50,05 Prozent der Siemens AG, zu 49,9 der Bundesrepublik Deutschland und zu 0,05 Prozent IBM Deutschland, ab Dezember wird sich das aber hin zu einer kompletten Übernahme durch die Bundesrepublik verändern.
Sensorik im Netz
Im Juli hatten Zeit Online und der Deutschlandfunk berichtet, dass einer der Pläne aus der Cybersicherheitsstrategie unter anderem der Ausbau von „Sensorik im Netz“ sei. Das bedeutet die Implementierung von einer Art „Frühwarnsystem“, um Angriffe früher erkennen und bekämpfen zu können. Dafür, so liegt nahe, müsste man den Internetverkehr automatisiert filtern und auswerten. Das Stichwort Deep Packet Inspection drängt sich förmlich auf. In der aktuellen Antwort leugnet die Regierung, derartige Pläne zu haben und beantwortet die Frage nach Plänen lediglich mit „Nein“. In bisher bekannten Teilen eines Entwurfspapieres findet sich jedoch der Satz, dass die „Pseudonymisierung solcher Erkenntnisse“ sei ein „wirksames Mittel, um die Rechte der Betroffenen zu schützen“. Wenn nicht Datenpakete, was soll dann pseudonymisiert werden?
Korte traut den Aussagen der Regierung nicht:
Fragen zur frühzeitigen Erkennung von Bedrohungen für die IT-Sicherheit werden von der Bundesregierung gar nicht beantwortet – obwohl allgemein bekannt ist, dass beispielsweise die Telekom über eine solche Sensorik verfügt. Es ist schwierig zu entscheiden, ob Unwille oder Unfähigkeit zu dieser Antwortverweigerung führen.
An Antwortverweigerung grenzt auch die Erwiderung auf die Frage, ob die Überwachung des kompletten Netzverkehrs geplant ist und wenn nein, in welchem Umfang. „Seitens der Bundesregierung ist keine automatisierte Überwachung des kompletten Netzwerkverkehrs geplant“, antwortet man. Sonst nichts. Keine Erwähnung von sonstigen Maßnahmen oder inwieweit der Netzverkehr stattdessen überwacht werden soll. Dass es keine Überwachung des Internetverkehrs gäbe, kann die Regierung kaum mehr behaupten.
Mitwirkung von Unternehmen, Providern und Diensteanbietern
In der Antwort auf Kortes Fragen behauptet die Bundesregierung, dass es derzeit keine Pläne gebe, die Mitwirkungspflicht von Unternehmen bei der Identifizierung von Nutzern anzupassen – von der beschlossenen Verifizierungspflicht für Prepaid-Mobilfunk-Nutzer abgesehen. Auch in Bezug auf die Verantwortlichkeit von Zugangsprovidern sei nichts geplant. Man prüft jedoch, …
inwieweit Mitwirkungspflichten von Host-Providern und Plattformbetreibern angepasst werden können, um die Verbreitung strafbarer Inhalte auf den Plattformen effektiv einzuschränken. In diesem Zusammenhang strebt die Bundesregierung eine Überprüfung des unionsrechtlich verankerten Host-Provider-Privilegs an.
Derartige Pläne hatte Bundesinnenminister Thomas de Maizière in den letzten Wochen immer wieder geäußert. Dabei ist die Providerhaftung bereits Realität und strafrechtlich relevante Inhalte werden schon jetzt entfernt. Sie sollen das jedoch noch schneller und eigenständiger tun, dabei stellt sich die Frage, welche Folgen eine solche Privatisierung von Zensur hat.
Die Antworten lenken davon ab, dass seit Wochen mit immer neuen Vorschlägen die Freiheit und Anonymität im Internet attackiert wird. In den Sicherheitsbehörden herrscht schon lange ein Cyber-Kompetenzgerangel. Der BND will seine Überwachung zum „Gefahrenbereich Cyber“ massiv ausbauen. Letzte Woche kündigte Bundeskanzlerin Angela Merkel neue Gesetze zur Überwachung Sozialer Netzwerke an.
Zuletzt erregte die Berliner Erklärung der CDU- und CSU-Innenminister Aufmerksamkeit. Sie fordert unter anderem eine Ausweitung der Vorratsdatenspeicherung auf Soziale Netzwerke und E-Mails, Zugriff für Verfassungsschutzämter, längere Speicherfristen und kritisiert – wörtlich – das „überzogene Datenschutzrecht“.
Ein weiteres Beispiel unter zahlreichen ist die gemeinsame Erklärung zur Inneren Sicherheit des französischen und deutschen Innenministers, in der Hintertüren gegen Verschlüsselung gefordert werden.
Zuvor wurde berichtet, dass im Entwurf der Cybersicherheitsstrategie selbst sehr wohl von weiteren Anpassungen der Identifizierungspflicht von Unternehmen die Rede ist.
Auch Korte glaubt nicht, dass das alles ist:
Die Bundesregierung muss dringend die Frage beantworten, wie weit sie die zwangsweise Identifizierung von Nutzern im Internet noch treiben will. Sie verweist lediglich auf die bereits beschlossene Regelung zu Identifizierungspflichten bei der Prepaid-Telefonie – und die noch nicht abgeschlossene Ressortabstimmung zur Cyber-Sicherheitsstrategie. Der Verdacht drängt sich auf, dass sie die Anonymität im Netz noch weiter beschränken will.
In der Antwort auf die letzte Frage Kortes findet sich dann doch noch etwas positiv zu Erwähnendes:
Die Bundesregierung sieht die Hersteller von Hard- und Software in der Pflicht, Sicherheitsmängel in ihren Produkten zeitnah und proaktiv zu beheben. Im Rahmen der Verhandlungen des Richtlinien-Vorschlags für Verträge über digitale Inhalte wird die Frage nach Sicherheits-Updates im Zusammenhang mit der Mängelgewährleistung im Vertragsverhältnis „Unternehmer-Verbraucher“ diskutiert.
Das wurde bereits im Zuge des IT-Sicherheitsgesetzes diskutiert. Eine solche Verpflichtung der Hersteller wäre wünschenswert, sie gegen die Lobby-Interessen der IT-Wirtschaft durchzusetzen, bedeutet jedoch ein gutes Stück Arbeit.
Nach Medienberichten von ZEIT ONLINE und dem Deutschlandfunk vom 7. Juli 2016 plant die Bundesregierung die Verabschiedung einer neuen „Cybersicherheitsstrategie für Deutschland 2016“. Ein Referentenentwurf werde gegenwärtig zwischen den zuständigen Ministerien abgestimmt und soll im Herbst vom Kabinett verabschiedet werden. Entstehen soll demnach eine größere und fast militärische Sicherheitsarchitektur für den digitalen Raum, bestehend aus verschiedenen Behörden, die nicht nur beraten, sondern auch schnell handeln können soll. Der Strategie zufolge sollen gleich drei mobile Eingreiftruppen, sogenannte „Quick Reaction Forces“ zum Zweck der Strafverfolgung und der zivilen Gefahrenabwehr aufgebaut werden. Daneben sollen verschiedene Gremien und Behörden, darunter das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Cyberabwehrzentrum des Bundes in Bonn, stark ausgebaut, Polizei, Bundeswehr, Regierung und Wirtschaft stärker miteinander vernetzt werden. Laut den Medienberichten soll außerdem mit einem nationalen „Computer Emergency Response Team“ (CERT) eine weitere Institution gegründet werden, um sofort auf eventuelle Angriffe reagieren zu können. Ferner prüfe die Bundesregierung, ob Hersteller haftbar gemacht werden können, wenn sie Sicherheitsmängel in ihrer Software und ihrer Hardware nicht beheben (vgl. ZEIT ONLINE vom 7. Juli 2016). Außerdem erklärte Bundesinnenminister Thomas de Maizière gegenüber dem ZDF Morgenmagazin: „Wir wollen, dass die Provider selbst eine Haftung und Verantwortung dafür übernehmen, wenn Straftaten in ihrem Netz stattfinden.“ (ZDF Morgenmagazin vom 21. Juli 2016).
Mit der derzeit gültigen „Cyber-Sicherheitsstrategie für Deutschland“ wurden bereits im Jahr 2011 wesentliche Festlegungen mit dem Ziel einer Erhöhung der Cyber-Sicherheit in Deutschland getroffen. Auch das im vergangenen Jahr in Kraft getretene IT-Sicherheitsgesetz hat seine Grundlage in der Cyber-Sicherheitsstrategie aus dem Jahr 2011.
Die strategischen Ansätze und Ziele der Cyber-Sicherheitsstrategie 2011 haben im Wesentlichen auch heute noch Bestand. Die sich stetig ändernden Rahmenbedingungen machen es aber erforderlich, sie zu ergänzen und in einer neuen Strategie zu bündeln. Die Bundesregierung plant daher, die Cyber-Sicherheitsstrategie weiter zu entwickeln und fort zuschreiben. Derzeit laufen hierzu die regierungsinternen Abstimmungen. Es existiert noch kein zwischen den beteiligten Bundesressorts abgestimmter Text, auf den bei Beantwortung der hier gegenständlichen Kleinen Anfrage Bezug genommen werden könnte. Die nachfolgenden Fragen sind daher für die Bundesregierung aus faktischen Gründen teilweise nur eingeschränkt beantwortbar.
Die Bundesregierung beantwortet die im Rahmen des parlamentarischen Fragerechts angefragten Sachverhalte gegenüber dem Deutschen Bundestag grundsätzlich transparent und vollständig, um dem verfassungsrechtlich verbrieften Aufklärungs- und Informationsanspruch des Deutschen Bundestages zu entsprechen. Soweit Anfragen Umstände betreffen, die aus Gründen des Staatswohls geheimhaltungsbedürftig sind, hat die Bundesregierung aber zu prüfen, ob und auf welche Weise die Geheimhaltungsbedürftigkeit mit dem parlamentarischen Informationsanspruch in Einklang gebracht werden kann (BVerfGE 124, Seite 161, 189). Evident geheimhaltungsbedürftige Informationen muss die Bundesregierung nach der Rechtsprechung des Bundesverfassungsgerichts nicht offenlegen (BVerfGE 124, 161, 193 f.).
Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Fragen 17a) und 29 aus Geheimhaltungsgründen teilweise nicht in dem für die Öffentlichkeit einsehbaren Teil beantwortet werden können.
Zwar ist der parlamentarische Informationsanspruch grundsätzlich auf die Beantwortung gestellter Fragen in der Öffentlichkeit angelegt. Die teilweise Einstufung der Antwort auf die Fragen 17a) und 29 als Verschlusssache (VS) mit dem Geheimhaltungsgrad „VS – Nur für den Dienstgebrauch“ ist aber im vorliegenden Fall erforderlich. Nach § 3 Nummer 4 der Allgemeinen Verwaltungsvorschrift zum materiellen und organisatorischen Schutz von Verschlusssachen (Verschlusssachenanweisung, VSA) sind Informationen, deren Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein können, entsprechend einzustufen. Eine zur Veröffentlichung bestimmte Antwort der Bundesregierung auf diese Fragen würde spezifische Informationen zur Tätigkeit, insbesondere zur Methodik und den konkreten technischen Fähigkeiten der Sicherheitsbehörden einem nicht eingrenzbaren Personenkreis – auch der Bundesrepublik Deutschland möglicherweise gegnerisch gesinnten Kräften – nicht nur im Inland, sondern auch im Ausland zugänglich machen.
Dabei würde die Gefahr entstehen, dass ihre bestehenden oder in der Entwicklung befindlichen operativen Fähigkeiten und Methoden aufgeklärt würden. Dies kann für die wirksame Erfüllung der gesetzlichen Aufgaben der Sicherheitsbehörden und damit für die Interessen der Bundesrepublik Deutschland nachteilig sein. Diese Informationen werden daher gemäß § 3 Nummer 4 VSA als „VS – Nur für den Dienstgebrauch“ eingestuft und dem Deutschen Bundestag gesondert übermittelt.
1. Treffen die Pressemeldungen über Pläne der Bundesregierung für eine neue „Cybersicherheitsstrategie für Deutschland 2016“ zu und wann soll diese verabschiedet werden, bzw. in Kraft treten?
Nach derzeitigem Planungsstand soll die neue Cybersicherheitsstrategie 2016 (CSS) im Herbst dieses Jahres durch das Bundeskabinett beschlossen werden. Im Übrigen wird auf die Ausführungen in der Vorbemerkung verwiesen.
2. In welcher Weise soll die Strategie parlamentarisch beraten werden?
Eine parlamentarische Beratung der Cybersicherheitsstrategie 2016 als Strategiepapier der Bundesregierung ist nicht vorgesehen.
3. Welche Pläne existieren für einen Ausbau des BSI?
Die Bundesregierung plant die Kapazitäten des Bundesamtes für Sicherheit in der Informationstechnik (BSI) auszubauen (s. Seite 103 des Koalitionsvertrages von CDU, CSU und SPD).
4. Welche Pläne existieren für einen Ausbau des Cyberabwehrzentrum (Cyber-AZ) des Bundes in Bonn, welche Behörden sollen daran in welchem Umfang beteiligt werden, und wer wird nach diesen Plänen zukünftig die Federführung innehaben?
Das Nationale Cyber-Abwehrzentrum in Bonn wird nach derzeitigen Plänen Gegenstand der CSS werden. Konkrete Angaben können mit Hinweis auf den Stand der Arbeiten zur Entwicklung der CSS nicht gemacht werden (siehe Vorbemerkung).
5. Inwieweit wird bei den Plänen der Bundesregierung die grundsätzliche Kritik des Bundesrechnungshofs am Cyberabwehrzentrum, wonach dessen Einrichtung nicht gerechtfertigt und sein Nutzen „fraglich“ sei, da die jetzige Konzeption „nicht geeignet [sei], die über die Behördenlandschaft verteilten Zuständigkeiten und Fähigkeiten bei der Abwehr von Angriffen aus dem Cyberraum zu bündeln“ (Süddeutsche Zeitung vom 7.6.2014) berücksichtigt?
Die Kritik des Bundesrechnungshofs wird bei der Weiterentwicklung des Cyber-AZ (Cyberabwehrzentrum) berücksichtigt.
6. Soll das Cyber-AZ nach Plänen der Bundesregierung wesentlich umstrukturiert werden, um sinnvoller zu arbeiten? Wenn ja, in welcher Form soll das im Detail geschehen?
Detaillierte Ausführungen zum Umfang der Umstrukturierung und zur Umstrukturierung selbst können mit Hinweis auf die Vorbemerkung nicht gemacht werden.
7. Hat die Bundesregierung selbst eine Evaluation des Cyber-AZ durchführen lassen und wenn ja, mit welchem Ergebnis? Wenn nein, warum nicht?
Das Bundesministerium des Innern begann vor der Prüfung des Bundesrechnungshofs mit einer Evaluierung. Diese Evaluierung hat bereits zu einer Verbesserung der Arbeit im Cyber-AZ geführt und ist als laufender Prozess der Fortentwicklung noch nicht abgeschlossen.
8. Wie weit wurden die Planungen des Bundesministeriums des Innern (BMI) zur Einrichtung von zwei Unterabteilungen „IT- und Cybersicherheit, sichere Informationstechnik“ und „Cybersicherheit im Bereich der Polizeien und des Verfassungsschutzes“ (heise.de, „Innenministerium: zwei neue Stäbe für die Cybersicherheit“, 13.6.2014) umgesetzt, was sind ihre Aufgaben, wie viel Personal wurde dorthin aus welchen anderen Abteilungen versetzt und wie viel neu gewonnen?
Zur Verbesserung der Aufgabenwahrnehmung im Bereich Cyber wurden im Bundesministerium des Innern (BMI) im Jahr 2014 in den Abteilungen Öffentliche Sicherheit und IT zwei neue Stäbe „IT- und Cybersicherheit; sichere Informationstechnik“ und „Cybersicherheit im Bereich der Polizeien und des Verfassungsschutzes“ eingerichtet, die sich einerseits mit Strafverfolgung und Spionageabwehr, andererseits mit der präventiven, Technik-gestaltenden Seite der Cybersicherheit befassen. Die Einrichtung bedingte einen Aufwuchs von vier Referaten in der Abteilung Informationstechnik, Digitale Gesellschaft und Cybersicherheit (IT) und eines Referates in der Abt. Öffentliche Sicherheit (ÖS) mit entsprechender Personalausstattung. Die Mitarbeiter wurden vorrangig durch Straffung der bisherigen Aufbauorganisation aus den Abteilungen ÖS und IT selbst gewonnen.
9. Ist es nach Einschätzung der Bundesregierung mit Hilfe der Cyber-Abwehrabteilung im BMI besser als mit dem Cyber-AZ gelungen, die über die Behördenlandschaft verteilten Zuständigkeiten und Fähigkeiten bei der Abwehr von Angriffen aus dem Cyberraum zu bündeln?
Mit der Einrichtung der Stäbe wurden die fachaufsichtliche Aufgabenwahrnehmung sowie die Zusammenarbeit der Behörden weiter gestärkt. Dies umfasst auch die Zusammenarbeit der Behörden im Cyber-AZ. Eine vergleichende Aussage ist daher nicht möglich.
10. Wie soll die Zivil-militärische Zusammenarbeit zwischen Cyber-Abwehrzentrum und Bundeswehr im Detail neu konzipiert werden?
Die Bundeswehr ist seit dem Jahr 2011 im Cyber-AZ vertreten. Dies wird sie auch in Zukunft sein. Im Übrigen bleiben die Aufgaben und Zuständigkeiten der Ressorts unberührt. Des Weiteren wird auf die Vorbemerkung der Bundesregierung verwiesen.
11. Treffen die Medienberichte zur Einrichtung des CERT zu und wenn ja,
a) handelt es sich dabei um eine tatsächlich neue Einrichtung oder die seit 1. September 2001 beim BSI bestehende „CERT-Bund“;
b) was soll sich nach den bisherigen Planungen organisatorisch, personell und bei den Zuständigkeiten für das CERT bzw. CERT-Bund ändern;
c) welche genaue Rolle ist ihm innerhalb der Cybersicherheitsstrategie zugedacht;
d) mit welchen Kosten für Personal und Technik rechnet die Bundesregierung (bitte entsprechend aufschlüsseln)?
Zu 11. und a) bis d)
Die Fragen 11 und 11a bis 11d werden gemeinsam beantwortet. Mit der neuen Cyber-Sicherheitsstrategie der Bundesregierung sollen die CERT-Strukturen (Computer Emergency Response Team) in Deutschland weiter gestärkt werden. im Übrigen wird auf die Ausführungen in der Vorbemerkung verwiesen.
12. Inwieweit sind Cyber-AZ und CERT in den Ausbau der für offensive Cyber-Einsätze trainierenden CNO-Einheit der Bundeswehr eingebunden?
13. Trifft es zu, dass der BND die „Lagebildaufklärung“ in fremden Netzen übernimmt oder übernehmen soll und seine Ressourcen im Konfliktfall den CNO-Kräften der
Bundeswehr zur Verfügung stellt?
14. Wie viele öffentliche und nicht-öffentliche Einrichtungen betreiben in der Bundesrepublik ein CERT (bitte so weit wie möglich nach Verwaltung, Wirtschaft und Universitäten/Forschungseinrichtungen differenzieren), die im Deutschen CERT-Verbund zusammengeschlossen sind?
Im CERT-Verbund gibt es derzeit 41 Mitglieder, die sich wie folgt aufschlüsseln las-
Verwaltung: 9
Wirtschaft: 30
Forschung: 2
15. Existiert mittlerweile der „Verbund Deutscher Verwaltungs-CERT“, was sind seine Aufgaben und Tätigkeitsfelder und wer hat die Geschäftsführung inne?
Der VerwaltungsCERT-Verbund (VCV) wurde im Jahr 2013 formal gegründet und ist mittlerweile – nach Aufbau der CERTs in den Ländern – operativ tätig. Im VCV findet ein Austausch zu Sicherheitsthemen inklusive Bewertung, technischer Analyse und Abstimmung von Maßnahmen statt. Schwachstelleninformationen werden vertraulich ausgetauscht. Eine zentrale Geschäftsführung ist aufgrund der partnerschaftlichen Kooperation auf gleicher Ebene nicht vorgesehen.
16. Welche externen Beraterinnen und Berater waren und sind bei der Ausarbeitung der „Cybersicherheitsstrategie für Deutschland 2016“ in welcher Form und Funktion tätig und welche Kosten entstehen dadurch jeweils (bitte entsprechend nach den genannten Kategorien auflisten)?
Die Ausarbeitung des Entwurfstextes der neuen Cybersicherheitsstrategie 2016 erfolgt derzeit durch die beteiligten Bundesressorts unter Federführung des Bundesministeriums des Innern. Externe Beraterinnen und Berater sind hieran nicht beteiligt.
17. Trifft es zu, dass im Bundesinnenministerium (BMI) Pläne existieren, wonach künftig mit dem Bundesamt für Verfassungsschutz (BfV), dem Bundeskriminalamt (BKA) und dem BSI gleich drei Behörden jeweils eine digitale Eingreiftruppe („Quick Reaction Force“) aufbauen, die jederzeit ausrücken kann?
Wenn ja, wie sehen diese Pläne konkret aus?
a) Wann soll das „Cyber-Team“ des BfV einsatzbereit sein, aus wie vielen Personen soll es bestehen, mit welchen Ressourcen soll es ausgestattet werden und welche Aufgaben soll es auf welcher Rechtsgrundlage übernehmen?
b) Wann soll die Quick Reaction Force des BKA einsatzbereit sein, aus wie vielen Personen soll sie bestehen, mit welchen Ressourcen soll sie ausgestattet werden und welche Aufgaben soll sie auf welcher Rechtsgrundlage übernehmen?
c) Wann soll das Mobile Incident Response Team (MIRT) des BSI einsatzbereit sein, aus wie vielen Personen soll es bestehen, mit welchen Ressourcen soll es ausgestattet werden und welche Aufgaben soll es auf welcher Rechtsgrundlage übernehmen?
d) Sollen die Mitglieder der genannten neuen Einheiten durch Neustrukturierungen und Umsetzungen oder durch Neugewinnung von Personal gewonnen werden, und wie hoch schätzt die Bundesregierung den entstehenden Personalbedarf?
a) Auf die Vorbemerkung wird verwiesen.
b) Beim Bundeskriminalamt (BKA) soll noch im Jahr 2016 die Einrichtung einer Quick Reaction Force (QRF) erfolgen. Die QRF ist eine jeweils aus vier Cybercrime-Experten des BKA bestehende, rotierende 24/7-Rufbereitschaft, um notwendige polizeiliche Sofortmaßnahmen außerhalb der Regelarbeitszeit einzuleiten. Rechtsgrundlage für die Einrichtung der QRF ist § 4 Absatz 1 Nr. 5 a) und b) des Gesetzes über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in kriminalpolizeilichen Angelegenheiten (BKAG).
c) Die Mobile Incident Response Teams (MIRTs) des BSI sollen im Jahr 2017 ihre Arbeit aufnehmen. Die MIRTs des BSI werden gemäß § 3 Absatz 1 Satz 2 Nummer 2 und § 3 Absatz 3 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) auf Ersuchen und mit Einwilligung von Bundesbehörden, Verfassungsorganen und Betreibern Kritischer Infrastrukturen vor Ort schnell, flexibel und adressatengerecht bei der technischen Bewältigung von Sicherheitsvorfällen unterstützen. Ziel dieser Unterstützung ist die schnellstmögliche Wiederherstellung eines sicheren technischen Betriebs der betroffenen Einrichtung.
d) Die Mobile Incident Response Teams des BSI sind Gegenstand des Regierungsentwurfs des Bundeshaushalts 2017ff. Die Ergebnisse der parlamentarischen Beratungen des Haushaltsentwurfs bleiben abzuwarten.
Auch hinsichtlich der QRF des BKA und der Cyber-Teams des Bundesamtes für Verfassungsschutz (BfV) sind noch keine belastbaren Aussagen möglich, da die Konzepte für die Einheiten noch nicht abschließend abgestimmt sind.
18. Wie und auf welcher Rechtsgrundlage soll die jeweilige Zuständigkeit der „Quick Reaction Forces“ geregelt und mögliche Kompetenzprobleme vermieden werden?
Die notwendige Koordination bei Einsätzen verschiedener Behörden erfolgt wie auch sonst im Bereich Cyber-Sicherheit auf Bundesebene unter Wahrung der verfassungsrechtlichen Grenzen und rechtlichen Vorgaben im Nationalen Cyber-Abwehrzentrum.
19. Wie soll verhindert werden, dass das Trennungsgebot zwischen Polizei und Nachrichtendiensten verletzt wird und sich Zuständigkeiten überschneiden?
20. Trifft es zu, dass im Bundesinnenministerium Pläne existieren, wonach das BMI zusammen mit den Providern die „Sensorik im Netz ausbauen“ will, um Cyberangriffe und Infektionen besser erkennen zu können und laufende Angriffe abzuschwächen? Wenn ja,
a) was ist konkret mit „Sensorik“ gemeint?
b) Auf welcher jeweiligen Rechtsgrundlage soll dies ggf. erfolgen?
c) Welche entsprechenden Einrichtungen („honey pots“ etc.) werden dazu bereits von den Netzbetreibern in der Bundesrepublik betrieben, und welche Defizite hat die Bundesregierung hierbei erkannt?
d) Fällt darunter auch eine sogenannte „Deep Packet Inspection“?
Zu 20. und a) bis d)
21. Soll künftig der komplette Netzwerkverkehr automatisiert überwacht werden und wenn ja, von wem soll dies auf welche Weise und auf welcher Rechtsgrundlage erfolgen?
Wenn nein, in welchem Umfang und auf welche Weise soll dann die Überwachung auf welcher konkreten Rechtsgrundlage erfolgen?
Seitens der Bundesregierung ist keine automatisierte Überwachung des kompletten Netzwerkverkehrs geplant.
22. Existieren in der Bundesregierung oder einzelnen Geschäftsbereichen Planungen mit dem Ziel, den Straftaten-Katalog in § 100a der Strafprozessordnung (StPO) zu erweitern, und wenn ja, welche Straftatbestände oder kriminologischen Phänomenbereiche kommen hierfür in Betracht?
Im Rahmen der Expertenkommission StPO (Strafprozessordnung) wurde eine Anpassung des Straftatenkatalogs des § 100a Absatz 2 StPO diskutiert. Eine abschließende Entscheidung innerhalb der Bundesregierung zu einer Umsetzung der Empfehlungen der Expertenkommission wurde noch nicht getroffen.
23. Um welche Straftaten handelt es sich nach Auffassung der Bundesregierung konkret, „die online und konspirativ verübt werden“ und demnach in den Straftaten-Katalog des § 100a StPO aufgenommen werden müssten?
24. Plant die Bundesregierung eine „Anpassung“ der Mitwirkungspﬂichten von Unternehmen, etwa bei der Identifizierung von Nutzern, und wenn ja, wie soll diese Anpassung im Detail aussehen?
Mit der Einführung einer Verifizierungspflicht für Prepaid-Nutzer im Mobilfunk ist bereits eine entsprechende Anpassung der Mitwirkungspflichten von Unternehmen erfolgt. Darüber hinaus kann mit Hinweis auf die Vorbemerkung keine Aussage getroffen werden.
25. Wie kann und soll nach Auffassung der Bundesregierung eine Haftung und Verantwortung der Provider konkret geregelt werden, wenn Straftaten in deren Netzen stattfinden und wie kann sichergestellt werden, dass Provider ihre Netze auf kriminelle Handlungen und Inhalte hin überprüfen, ohne dass sie dabei ihrerseits eine gesetzwidrige Überwachungsinfrastruktur aufbauen?
26. Kann die Bundesregierung ausschließen, dass darunter Pflichten auch für deutsche Anbieter von anonymen Internetdiensten sein werden?
Zu 25. und 26.
Die Fragen 25 und 26 werden gemeinsam beantwortet. Die Bundesregierung plant derzeit keine Initiativen zur Regelung der Haftung und Verantwortung der Zugangs-Provider, wenn Straftaten in deren Netzen stattfinden.
Die Bundesregierung prüft jedoch, inwieweit Mitwirkungspflichten von Host-Providern und Plattformbetreibern angepasst werden können, um die Verbreitung strafbarer Inhalte auf den Plattformen effektiv einzuschränken. In diesem Zusammenhang strebt die Bundesregierung eine Überprüfung des unionsrechtlich verankerten Host-Provider-Privilegs an.
Darüber hinaus ist zu beachten, dass Host-Provider nur unter den Bedingungen der §§ 7 bis 10 des Telemediengesetzes (TMG) strafrechtlich verantwortlich gemacht werden können, die auf Art. 12 bis 15 der E-Commerce-Richtlinie beruhen.
27. Ist es korrekt, dass Pläne existieren, der Staat müsse sich stärker für private Sicherheitsdienstleister öffnen, weil es nach Auffassung der Bundesregierung in den Sicherheitsbehörden an Fachkräften mangele? Wenn ja:
a) In welchen Bereichen und für welche Aufgaben will das BMI mehr private Sicherheitsfirmen einsetzen?
b) Inwieweit soll die Bundeswehr künftig bei der Cyberabwehr Unterstützung durch zivile Akteure erhalten?
c) Wie kann oder soll nach Auffassung der Bundesregierung die Datensicherheit bei der Beauftragung privater Unternehmen z.B. bei der Datenweitergabe etc. gewährleistet werden?
d) Sieht die Bundesregierung insbesondere bei der Beauftragung nicht-deutscher privater Unternehmen Sicherheitsrisiken und wenn ja, welche sind dies?
Zu 27., a, c und d
Die Fragen 27, a, c und d werden gemeinsam beantwortet. Aus Sicht der Bundesregierung haben Staat und Wirtschaft in Zeiten des IT-Fachkräftemangels ein gemeinsames Interesse daran, den gegenseitigen Austausch von IT-Fachwissen und die Bildung von Spezialisten-Netzwerken zu befördern. Bei der technischen Bewältigung von IT-Sicherheitsvorfällen und bei sonstigen Maßnahmen zur Erhöhung der IT-Sicherheit durch das BSI müssen im Rahmen des geltenden Rechts auch private vertrauenswürdige IT-Firmen eingebunden werden, wenn dies aus technischen oder ressourcenmäßigen Gründen erforderlich ist. Dies ist zum Beispiel in § 3 Absatz 3 BSIG für die Unterstützung von Betreibern Kritischer Infrastrukturen, in § 7 Absatz 1 Satz 2 BSIG für die Zusammenarbeit mit Providern bei öffentlichen Warnungen oder in § 7a Absatz 1 Satz 2 BSIG für Produktuntersuchungen durch das BSI vorgesehen. Dem Schutz personenbezogener Daten, der staatlichen Geheimhaltung und dem Schutz von Dienstgeheimnissen wird bei der Zusammenarbeit ebenso Rechnung getragen wie dem Schutz von Betriebs- und Geschäftsgeheimnissen von Unternehmen.
b) Die Bundeswehr lässt den Großteil ihrer Informationstechnik im Inland durch die BWI Informationstechnik GmbH (BWI IT) betreiben. Die BWI IT hat ein Computer Emergency Response Team (CERTBWI) eingerichtet, welches das CERT der Bundeswehr bei der Bearbeitung von IT-Sicherheitsvorkommnissen unterstützt. Darüber hinaus wird das CERTBw im Rahmen bestehender Verträge mit der Firma Symantec bei der Bearbeitung von IT-Sicherheitsvorkommnissen und mit der Firma Microsoft bei der Erstellung von Konfigurationsvorgaben unterstützt. Zudem ist die Bundeswehr grundsätzlich an darüber hinausgehenden Unterstützungsleistungen, wie die Unterstützung bei der Erfassung von aktuellen Informationen zur Bedrohungslage, interessiert. Zu Art und Umfang solcher Leistungen bestehen derzeit jedoch keine konkreten Pläne.
28. Ist es zutreffend, dass Pläne bestehen, wonach im BMI außerdem eine zentrale Stelle entstehen soll, die „Cyberwaffen“ (Hard- und Software zur Infiltration und aktivem Eindringen in fremde Computersysteme) beschafft und entwickelt und wenn ja, aus welchen Gründen wird dies für nötig erachtet und auf welcher jeweiligen Rechtsgrundlage soll dies passieren?
Auf die Antwort der Bundesregierung zu Frage 1 der Kleinen Anfrage der Fraktion DIE LINKE auf Bundestagsdrucksache 18/9311 vom 1. August 2016 wird verwiesen.
Die Errichtung der zentralen Stelle soll auf Grund von Artikel 65 Satz 2 des Grundgesetzes per Errichtungserlass erfolgen.
29. Was muss als Aufgabe dieser neuen Stabsstelle im BMI unter der Formulierung „technische Unterstützung für nationale Sicherheitsbehörden im Hinblick auf deren operative Cyberfähigkeiten“ im Detail verstanden werden (bitte ausführen)?
30. Ist es zutreffend, dass die Bundesregierung derzeit prüft, ob Hersteller haftbar gemacht werden können, wenn sie Sicherheitsmängel in ihrer Software und ihrer Hardware nicht beheben und wenn ja,
a) welche Ergebnisse hat diese Prüfung bereits erbracht;
b) plant die Bundesregierung eine entsprechende Überarbeitung des IT-Sicherheitsgesetzes?
Zu 30., a) und b)
Die Fragen 30, a und b werden gemeinsam beantwortet. Die Bundesregierung sieht die Hersteller von Hard- und Software in der Pflicht, Sicherheitsmängel in ihren Produkten zeitnah und proaktiv zu beheben. Im Rahmen der Verhandlungen des Richtlinien-Vorschlags für Verträge über digitale Inhalte wird die Frage nach Sicherheits-Updates im Zusammenhang mit der Mängelgewährleistung im Vertragsverhältnis „Unternehmer-Verbraucher“ diskutiert. Darüber hinaus sieht die Bundesregierung derzeit keinen gesetzgeberischen Handlungsbedarf.
Veröffentlicht 24.08.2016 um 15:04
Vorheriger Beitrag Previous post: Diese Tools schützen deine Privatsphäre vor Windows 10
Nächster Beitrag Next post: Sommer der inneren Sicherheit: Was die Innenminister von Frankreich und Deutschland wirklich fordern
24. August 2016 um 16:30 Uhr
Ist doch klar, warum das Parlament außen vor gelassen wird … es sind Wahlen und der Feind sitzt auch im Parlament!
Union und SPD sind nun im Wahlkampf … die Opposition ebenfalls!
Also, warum den Feinden noch Munition für ihre Kanonen liefern?
Außerdem müssen jetzt noch schnell die Schärflein ins trockene Bringen, falls die Opposition ans Ruder kommt, damit man evtl. Putschen kann!
Klar eine VT, aber VT is schee!
Hier ein Szenario, wie der Hase laufen könnte:
Die Landtagswahlen 2016/17 und der Bundestagswahl 2017 gingen an AFD, „Die Linke“, Grüne … die sich zusammenrauften (gemeinsame Ziele) und eine neue Groko bildeten, der Gegenpol (Opposition) mit 38% bildeten die ehemalige Groko (SPD mit 14% und Union mit 24%)!
Die neue Groko fing nun an, in den Papieren der alten Groko zu wühlen und erschrak (Werner Holt … Sägewerk, eine sehr adäquate Parallele) … sie vereinbarten Stillschweigen und entsprechende Änderungen vorzunehmen (Gesetze entschärfen/zurück nehmen)!
Diese Entmachtung wollten die Dienste (BND/VS/MAD) nicht hin nehmen, und starteten die Initiative „Call Back“ …
Die Initiative sah vor, die Bundestagswahlen als „Manipuliert“ zu entlarven … die Vorbereitungen wurden schon im Jahr 2016 getroffen … die Dienste Lancierten nun Verdachtsmomente an die Presse, die umgehend „Klärungsbedarf“ anmeldeten!
Die „Nachweise“ reichten aus, um die Bundestags und Landtagswahlen zu wiederholen, in denen Union und SPD fast wieder zur alten Stärke gelangten, den Rest der Stimmen lieferten die Grünen … so das es eine neue Stabile Mehrheit ergab!
… die Auszählungsfehler der alten Wahl, ergaben sich aus einem Computerfehler, der auf einem Cyberangriff der UdSSR zurückzuführen war, die Wahlen mussten wiederholt werden, da ein erneutes Auszählen nicht möglich war, da die Stimmzettel schon vernichtet waren!
Erfreulich bei der zweiten Wahl war die hohe Wahlbeteiligung von 40% der Wähler an der Briefwahl!
24. August 2016 um 17:39 Uhr
Die haben schon eine lustige Art „F*ck you!“ zu sagen! :)
„a) was ist konkret mit „Sensorik“ gemeint?
Ich halte es mit Blick auf die geplante Vernetzung der Bundeswehr mit dem BND (den die Bundeswehr benötigen wird, wenn sie ihre Cyber-Planungen wirklich umsetzen will) interessant, wie in den Antworten dazu argumentiert wird. Insbesondere die ungewöhlich ausführliche Antwort zur Frage 13 ist m.M.n. als eine deutliche Bestätigung der Frage zu werten. Ich habe versucht die Antworten mit Blick auf die Bundeswehr-Pläne hier etwas ausführtlicher darzustellen: