Cyberkriminalität

IT-Firmen wollen durch neues Sicher­heits­gesetz keine Ruf­schä­digung riskieren

Unter­nehmen sprechen höchst ungern darüber, wenn sie Opfer von Cyber­attacken werden. Dabei sind die Gefahren groß - vor allem, wenn es sensible Bereiche trifft, wie etwa Energie­versorger oder Banken. Die Regierung will solche Firmen nun per Gesetz zum Reden bringen.
Von Jennifer Buchholz mit Material von dpa

Branchenreaktionen zum Gesetzesentwurf sind eher geteilt Branchenreaktionen zum Gesetzesentwurf sind eher geteilt
Bild: dpa Bundesinnenminister Thomas de Maizière (CDU) will die Wirtschaft mit dem geplanten IT-Sicher­heits­gesetz nicht unnötig belasten. Der Mittelstand solle mit dem Gesetz nicht drangsaliert werden, sagte de Maizière heute in Bonn. Es sei kluge Eigenvorsorge von Unternehmen, nicht Ziel von Angriffen zu werden. "Aber das, was für das Zusammen­leben unserer Gesell­schaft wichtig ist, das muss auch vor Angriffen möglichst geschützt werden."

In ihrer Branche sollen die betroffenen Unter­nehmen selbst innerhalb von zwei Jahren Mindest­standards entwickeln, um ihre IT gegen Attacken abzusichern. Diese Standards müssen vom Bundesamt für Sicherheit in der Informations­technik (BSI) abgesegnet werden, heißt es laut Nachrichtenagentur dpa im Entwurf für das IT-Sicherheitsgesetz, welcher heute in die Ressortabstimmung ging. In Zukunft sollen die Firmen dann alle zwei Jahre nachweisen, dass sie die Anforderungen erfüllen.

Ausbau des staatlichen Sicherheitssystems geplant

Branchenreaktionen zum Gesetzesentwurf sind eher geteilt Branchenreaktionen zum Gesetzesentwurf sind eher geteilt
Bild: dpa Weiter heißt es in dem Entwurf, dass das BSI verpflichtet wird, die eingehenden Meldungen über Cyberattacken auszuwerten, Angriffsmuster auszumachen und potenziell gefährdete Unternehmen vor drohenden Übergriffen zu warnen. Darüber hinaus soll die Zuständigkeit des Bundeskriminalamts (BKA) auf bestimmte Cyberdelikte, für die bislang noch die Länder verantwortlich sind, ausgeweitet werden. Bei den finanziellen Belastungen, die de Maizière anspricht, handelt es sich um Gelder für Personal für die Sicherheitsbehörden, um der Aufgabe in Sachen IT-Sicherheit nachzukommen zu können: Das BKA soll 108 Stellen extra bekommen. Die Kosten dafür werden auf 7,3 Millionen Euro jährlich beziffert. Hinzu kommen etwa 680 000 Euro im Jahr an Sachmitteln.

Beim BSI sind 133 zusätzliche Stellen vorgesehen. Das soll 8,8 Millionen Euro jährlich kosten. Außerdem sind noch einmal fünf Millionen Euro im Jahr für Ausstattung beim BSI eingeplant.

Kritik an erhöhtem Bürokratieaufwand durch das Gesetz und damit verbundene Mehrkosten ließ de Maizière nicht gelten. Die Schäden durch Angriffe auf das Internet seien allemal höher, als die Vorsorgekosten. Wenn es wirklich große Angriffe gebe, die das Leben der Bundesrepublik massiv beeinträchtigten, dann sei es nicht zu viel verlangt, anonym oder öffentlich darüber zu unterrichten. Das Sicherheitsgesetz solle dazu beitragen, "unser Netz zu einem der sichersten der Welt machen", fügte der Minister hinzu.

Branchenreaktionen zum Gesetzesentwurf

Erste Unter­nehmen und Branchen­verbände haben sich bereits zum Gesetzes­entwurf geäußert. So teilte Oliver Süme, Vorstand Politik und Recht beim eco, mit, dass eco „grundsätzlich die Pläne des Innenministers, Deutschland zum führenden Standort im Bereich IT-Sicherheit auszubauen" befürworte. Zwar könnte ein derartiges Gesetz "Deutschland einen Standort- und Wettbewerbsvorteil im europäischen und internationalen Markt" bringen, dennoch unterstützt eco ein "IT-Sicherheitsgesetz als nationalen Alleingang – so wie es jetzt als Referentenentwurf konkretisiert vorliegt –" nicht, erklärt Süme. Stattdessen solle die Bundesregierung auf "europaweite Regelung im Rahmen der geplanten NIS-Richtlinie anstreben, um den betroffenen Unternehmen unnötig hohe Kosten zu ersparen", heißt es seitens des eco.

Der Branchenverband Bitkom hingegen begrüßt die Verbesserungen am IT-Sicherheitsgesetz. "Das Gesetz nimmt die Betreiber kritischer Infrastrukturen in die Pflicht, ihre IT-Sicherheit zu verbessern und auf dem neuesten Stand zu halten", sagt Bitkom-Präsident Dieter Kempf. In Bezug auf die Meldepflicht von schwerwiegenden IT-Sicherheitsvorfällen in anonymisierter Form sagt Kempf: "Erster und wichtigster Schritt zu mehr IT-Sicherheit sind bessere Erkennungs- und Abwehrsysteme."

Der Entwurf für das Sicherheitsgesetz solle laut de Maizière im Herbst gründlich diskutiert werden. Er hoffe, dass dann vor Weihnachten im Kabinett darüber befunden werden könne.

Weshalb de Maizière die Notwendigkeit für ein derartiges Gesetz sieht, haben wir in einer gesonderten Meldung für Sie zusammengefasst.

Mehr zum Thema Politik