Partei: CDU/CSU
Frau Präsidentin! Liebe Kolleginnen und Kollegen! Meine Damen und Herren! Der kluge Mann und die kluge Frau bauen vor. Das gilt schon seit Menschengedenken. Wir errichten Deiche, um uns bestmöglich vor den Gefahren eines Hochwassers zu schützen, in den Bergen befestigen wir Abhänge, damit sie nicht auf Straßen rutschen, wir legen Vorräte an und legen einen Notgroschen für den Ernstfall zurück. Kurz: Es liegt in der Natur des Menschen, Vorsorge zu treffen. In der digitalen Welt sollte es nicht anders sein. Digitale Infrastrukturen und IT-Systeme sind das Rückgrat unserer modernen Gesellschaft. Durch sie entstehen in nahezu allen Lebensbereichen neue Potenziale, Freiräume und Synergien. Gleichzeitig wächst aber die Abhängigkeit von diesen Systemen und damit auch die Bedeutung der Verfügbarkeit und Sicherheit der Systeme. Der technische Fortschritt hat uns also ein Stück weit verwundbar oder verwundbarer gemacht, auch durch die digitale Welt. Das Bundesamt für Sicherheit in der Informationstechnik geht davon aus, dass allein in Deutschland mehr als 1 Million Internetrechner Teil eines sogenannten Botnetzes ist. Das bedeutet, dass sie jederzeit für ITAngriffe missbrauchbar sind, ohne dass das der Betreiber bemerkt. Mehr als 250 Millionen Varianten von Schadprogrammen sollen heute schon in Umlauf sein, und täglich kommen über 300 000 neue Varianten hinzu. Erfolgreiche technische Dienste und zuverlässige Anwendungen im Internet brauchen Vertrauen in die Sicherheit der IT-Systeme. Wir beraten heute in erster Lesung über einen Gesetzentwurf, der diesem Ziel dient und zwei wichtige Bestandteile enthält. Erstens. Wir ergreifen Maßnahmen zum Schutz unserer kritischen Infrastrukturen. Das sind die Teile unserer Netze, die für unser Leben von zentraler Bedeutung sind, wie die Energieversorgung, die Wasserversorgung, die Geldversorgung, der Verkehr, die Gesundheitsversorgung und viele andere Bereiche. Sicherheit bedeutet hier, dass die Netze verfügbar sind, dass sie schlicht funktionieren, dass sie ohne Störungen betrieben werden können. Deshalb werden wir die Betreiber solcher kritischen Infrastrukturen mit dem Gesetz verpflichten, Mindeststandards an IT-Sicherheit einzuhalten und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik zu melden. Diese Informationen werden ausgewertet und anschließend anderen, ähnlichen Betreibern kritischer Infrastrukturen zur Verfügung gestellt, damit diese sich wappnen oder eingetretene Schäden beseitigen können. Sie können dann ihrerseits zielgerichtete Maßnahmen zum Schutz der Infrastruktur ergreifen, noch bevor sie selbst zum Opfer eines entsprechenden Angriffs werden, oder, wenn sie es bereits geworden sind, gemeinsam mit anderen den Schaden beheben. Der zweite wichtige Baustein betrifft Maßnahmen, die auch andere in Deutschland betriebene IT-Systeme sicherer machen. Ich will drei dieser Maßnahmen nennen: Erstens. Wir verpflichten die Betreiber von Webseiten, zum Beispiel von Onlineshops, ihre IT-Systeme durch wirksame und zeitgemäße Vorkehrungen vor dem unerlaubten Zugriff zu schützen. Damit wollen wir verhindern, dass über unzureichend geschützte Webserver Viren, Trojaner und andere Schadprogramme verbreitet werden. Zweitens. Wir werden Telekommunikationsunternehmen verpflichten, ihre Kunden zu warnen, wenn sie bemerken, dass der Anschluss des Kunden für Angriffe missbraucht wird. Gleichzeitig sollen sie ihre Kunden auf mögliche Wege zu deren Abwehr hinweisen. Viele Telekommunikationsunternehmen machen das schon heute, aber eben nicht alle. Drittens. Wir wollen dem Bundesamt für Sicherheit in der Informationstechnik die Erlaubnis geben, bestimmte IT-Produkte auf ihre IT-Sicherheit zu überprüfen und die Ergebnisse bei Bedarf auch zu veröffentlichen. Das wird die Transparenz der Sicherheit von IT-Produkten erhöhen und zu mehr Akzeptanz der IT-Sicherheit als eigenständigem Wert eines IT-Produktes führen. Meine Damen und Herren, was wir mit diesen Maßnahmen machen, ist nichts anderes, als dass wir etablierte und bewährte Maßnahmen aus der sogenannten analogen Welt in die sogenannte digitale Welt übertragen. Wir stellen in der analogen Welt Mindestanforderungen für Lebensmittel und Haushaltsgeräte auf. Wir machen das genauso bei Banken und Finanzdienstleistern im Bereich des Risikomanagements. Wir verlangen sogar von Lebensmittelbetrieben, dass sie bei Gefahren für die Gesundheit die Bevölkerung gegebenenfalls öffentlich warnen und ihre Lebensmittel aus den Regalen zurückziehen. Im Flugverkehr schreiben wir Meldungen über sicherheitsrelevante Vorfälle an das Luftfahrt-Bundesamt vor. Seit langer Zeit verpflichten wir Grundstückseigentümer, im Winter auf ihren Gehwegen zu streuen, um Unfälle von Personen zu vermeiden. Nichts anderes machen wir jetzt im Bereich der IT. Viele Menschen haben den Eindruck, dass die Einhaltung und Durchsetzung von Recht und Ordnung in der digitalen Welt unerreichbar seien. Die Digitalisierung sei zu dynamisch, der Cyberraum zu global, die Amerikaner seien zu stark; da könne man halt nichts machen. Ich sehe das anders. Auch wenn man im Internet in einer Millisekunde scheinbar jeden Ort der Welt erreichen kann: Es gibt ein physisches Netz in Deutschland, es gibt IT-Systeme, die hier in Deutschland betrieben und angeboten werden. Sie unterliegen dem deutschen Recht, und damit können wir auch Regeln für diese Systeme aufstellen. Gleichzeitig handeln wir auch international. In Europa arbeiten wir parallel zu dem Gesetzentwurf, den wir ab jetzt beraten, an dem Zustandekommen einer Richtlinie für die Netzwerk- und Informationssicherheit in der Europäischen Union, an der sogenannten NIS-Richtlinie. Auch hier sollen unter anderem EU-weite Mindestanforderungen für Betreiber kritischer Infrastrukturen aufgestellt werden. Auch hier sind Meldeverfahren hinsichtlich kritischer Sicherheitsvorfälle vorgesehen. Was wir in diesem Fall also machen, ist nicht, zu warten, dass Europa uns eine Vorgabe macht, und diese dann irgendwie zögerlich und auf Druck der EU mit Fristversäumung usw. umzusetzen. Diese Zeit haben wir in der schnellen Welt des Internets nicht. Was wir heute machen, ist, wenn Sie so wollen, eine vorweggenommene Umsetzung einer künftigen Richtlinie. Damit das klappt, sind wir in engstem Kontakt mit der EU-Kommission und natürlich mit dem Rat, damit das Ganze so kompatibel ist, dass es nachher auch zusammenpasst. Trotzdem geht das alles nur gemeinsam – in Europa und in Deutschland. Der Gesetzentwurf sieht ein Wechselspiel zwischen Unternehmen und Behörden vor: Melden und Warnen, Standards und Sicherungsmaßnahmen entwickeln. Das alles funktioniert nämlich nur, wenn man zusammenarbeitet. Auch das ist ein Prinzip, das hinter den hier vorgelegten Regelungen steckt. Wir wollen auch bei der IT-Sicherheit eine neue Form der Kooperation mit der Wirtschaft; denn wir als Aufsichtsbehörde wollen nicht nur Vorschriften machen. Ein letzter Gedanke. Die Sicherheit unserer IT-Systeme soll auch ökonomisch dem Standort Deutschland und dem Standort Europa dienen. Das haben wir zum Beispiel von Standards in der Umweltpolitik gelernt. ITSicherheit made in Germany soll nicht nur unsere Netze sicherer, sondern auch unsere Wirtschaft erfolgreicher machen. Meine Damen und Herren, wir wollen die deutschen IT-Systeme zu den sichersten in der Welt machen. Der vorgelegte Entwurf eines IT-Sicherheitsgesetzes, den wir ab heute beraten, ist dazu ein erster und wichtiger Schritt. Vielen Dank.