Source: https://www.gesetze-im-internet.de/bsig_2009/__7b.html
Legislation: bsig_2009

Title: § 7b Detektion von Sicherheitsrisiken für die Netz- und IT-Sicherheit und von Angriffsmethoden

Description:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 7b Detektion von Sicherheitsrisiken für die Netz- und IT-Sicherheit und von Angriffsmethoden

Paragraph: 7b

Full Text:
Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG 2009)
§ 7b Detektion von Sicherheitsrisiken für die Netz- und IT-Sicherheit und von Angriffsmethoden

(1) Das Bundesamt kann im Rahmen seiner Aufgaben nach § 3 Absatz 1
Satz 2 Nummer 1, 2, 14 oder 17 zur Detektion von Sicherheitslücken und
anderen Sicherheitsrisiken bei Einrichtungen des Bundes oder der in §
2 Absatz 10, 11 und 14 genannten Unternehmen Maßnahmen an den
Schnittstellen öffentlich erreichbarer informationstechnischer Systeme
zu öffentlichen Telekommunikationsnetzen (Portscans) durchführen, wenn
Tatsachen die Annahme rechtfertigen, dass diese ungeschützt im Sinne
des Absatzes 2 sein können und dadurch in ihrer Sicherheit oder
Funktionsfähigkeit gefährdet sein können. Die Maßnahmen müssen sich
auf einen vorher bestimmten Bereich von Internet-Protokolladressen,
die regelmäßig den informationstechnischen Systemen

1.  des Bundes oder

2.  Kritischer Infrastrukturen, digitaler Dienste und der Unternehmen im
    besonderen öffentlichen Interesse

zugeordnet sind (Weiße Liste), beschränken. Die Weiße Liste ist stetig
durch geeignete Überprüfungen anzupassen, um Änderungen bei der
Zuordnung von Internetprotokoll-Adressen zu den in den Nummern 1 und 2
bezeichneten Stellen zu berücksichtigen. Erlangt das Bundesamt dabei
Informationen, die durch Artikel 10 des Grundgesetzes geschützt sind,
darf es diese nur zum Zwecke der Übermittlung nach § 5 Absatz 5 und 6
verarbeiten. Sofern die Voraussetzungen des § 5 Absatz 5 und 6 nicht
vorliegen, sind Informationen, die nach Artikel 10 des Grundgesetzes
geschützt sind, unverzüglich zu löschen. Maßnahmen nach Satz 1 dürfen
nur durch eine Bedienstete oder einen Bediensteten des Bundesamtes mit
der Befähigung zum Richteramt angeordnet werden.

(2) Ein informationstechnisches System ist ungeschützt im Sinne des
Absatzes 1, wenn in diesem öffentlich bekannte Sicherheitslücken
bestehen oder wenn auf Grund sonstiger offensichtlich unzureichender
Sicherheitsvorkehrungen unbefugt von Dritten auf das System
zugegriffen werden kann.

(3) Wird durch Maßnahmen gemäß Absatz 1 eine Sicherheitslücke oder ein
anderes Sicherheitsrisiko eines informationstechnischen Systems
erkannt, sind die für das informationstechnische System
Verantwortlichen unverzüglich darüber zu informieren. Das Bundesamt
soll dabei auf bestehende Abhilfemöglichkeiten hinweisen. Sind dem
Bundesamt die Verantwortlichen nicht bekannt oder ist ihre
Identifikation nur mit unverhältnismäßigem Aufwand oder über eine
Bestandsdatenabfrage nach § 5c möglich, ist hilfsweise der betreibende
Dienstleister des jeweiligen Netzes oder Systems unverzüglich zu
benachrichtigen, wenn überwiegende Sicherheitsinteressen nicht
entgegenstehen. Das Bundesamt unterrichtet die Bundesbeauftragte oder
den Bundesbeauftragten für den Datenschutz und die
Informationsfreiheit jeweils bis zum 30. Juni des Folgejahres über die
Anzahl der gemäß Absatz 1 ergriffenen Maßnahmen. Das Bundesamt legt
die Weiße Liste nach Absatz 1 Satz 3 der Bundesbeauftragten oder dem
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit
vierteljährlich zur Kontrolle vor.

(4) Das Bundesamt darf zur Erfüllung seiner Aufgaben Systeme und
Verfahren einsetzen, welche einem Angreifer einen erfolgreichen
Angriff vortäuschen, um den Einsatz von Schadprogrammen oder andere
Angriffsmethoden zu erheben und auszuwerten. Das Bundesamt darf dabei
die zur Auswertung der Funktionsweise der Schadprogramme und
Angriffsmethoden erforderlichen Daten verarbeiten.

Collections: bundestag_gesetze
BSIG-2009
Level: 2.0