Geplante BSI-Grundgesetzänderung aufgegeben

Eine stille Entscheidung mit lauter Signalwirkung: Die Bundesregierung hat ihre Pläne aufgegeben, das Bundesamt für Sicherheit in der Informationstechnik (BSI) zur Zentralstelle für Cybersicherheit auszubauen. Die dafür notwendige Grundgesetzänderung wird nicht angestrebt. Stattdessen soll laut dem Bundesministerium des Innern (BMI) der verfassungsrechtliche Rahmen ausgeschöpft werden.

Der Zeitpunkt ist denkbar ungünstig. Der Angriff auf die Berliner Senatsverwaltung im August dieses Jahres hat größere Folgen als zunächst angenommen (wir berichteten). Im September wurden geklaute Datenbestände im Darknet veröffentlicht. Darunter befinden sich neben personenbezogenen Daten möglicherweise auch Informationen, die für den Schutz kritischer Infrastruktur relevant sind. Dieser Cyberangriff zeigt einmal mehr, wie verwundbar öffentliche Infrastruktur gegenüber professionellen Angreifern ist. Die betroffenen Behörden sind dabei häufig auf schnelle, externe Unterstützung angewiesen.

Problembeschreibung und angedachte Lösung

In Deutschland ist die Gefahrenabwehr Ländersache – auch im digitalen Raum. Dem BSI ist es bei der Abwehr von Cyberangriffen erst dann erlaubt der betroffenen Behörde zu helfen, nachdem offiziell Amtshilfe beantragt worden ist. Diese Unterstützung ist in § 3 BSIG geregelt. Die Hürde wollte die aktuelle Bundesregierung in ihrem Koalitionsvertrag nehmen und das BSI zu einer Zentralstelle für Cybersicherheit ausbauen, die selbstständig bei der Gefahrenabwehr helfen kann, ohne erst dafür beauftragt werden zu müssen. Dazu wäre eine Grundgesetzänderung notwendig gewesen. Dieser Plan ist nicht neu, sondern stammt ursprünglich aus der Ampel-Ära. Die Ampel-Koalition scheiterte jedoch, bevor das Vorhaben umgesetzt werden konnte. Die neue Koalition aus CDU/CSU und SPD übernahm das Ziel in ihren Koalitionsvertrag, hat es nun allerdings still beerdigt.

Das große Problem der aktuellen Gesetzeslage ist, dass das Beantragen der Amtshilfe wertvolle Zeit kostet. Bei einem laufenden Cyberangriff kann das entscheidend sein. Das weiß auch das BSI. Deswegen lief es in der Praxis häufig so ab, dass das BSI erst zur Hilfe eilte und die rechtliche Grundlage nachträglich geklärt wurde. Nun sieht es so aus, als wenn dieses Vorgehen erst einmal fortbestehen müsste.

Das BMI, dem das BSI unterstellt ist, verweist auf den bestehenden verfassungsrechtlichen Rahmen und Kooperationsvereinbarungen, die derzeit mit 14 der 16 Bundesländer bestehen. Diese sollen den Wissenstransfer zwischen BSI und den Ländern voranbringen sowie eine gegenseitige Unterstützung mit konkreten, gemeinsamen Projekten ermöglichen. Sie schaffen keinen neuen Rechtsrahmen. Die verfassungsrechtliche Hürde bei der Amtshilfe bleibt.

Das BSI zwischen Schutzauftrag und Geheimdienstinteressen

Die Debatte um die Grundgesetzänderung wirft allerdings eine noch tiefergehende Frage auf: Die Frage nach dem Vertrauen von Organisationen in das BSI. Hierfür lohnt sich ein Blick auf die verwaltungsrechtliche Struktur des BSI. Das BSI ist eine obere Bundesbehörde und damit nicht selbstständig. Es ist dem BMI unterstellt, welches wiederum eine oberste Bundesbehörde ist. Das BMI führt die Fachaufsicht über das BSI und hat somit eine inhaltliche Weisungsbefugnis gegenüber diesem. 

Unter der Aufsicht des BMI steht u. a. auch das Bundeskriminalamt (BKA), also die Zentralstelle der deutschen Kriminalpolizei und das Bundesamt für Verfassungsschutz (BfV), einer der drei Nachrichtendienste des Bundes. Damit befinden sich innerhalb des BMI verschiedene Behörden mit sich teils widersprechenden Zielen. Das BSI soll die Informationssicherheit in Deutschland verbessern, wozu das Schließen von Sicherheitslücken in IT-Infrastrukturen gehört. Sicherheitsbehörden wiederum setzen auf Überwachung als ein Mittel zur Kriminalitätsbekämpfung. Das bedeutet im Zweifel auch ein gezieltes Offenhalten und Ausnutzen von Sicherheitslücken, statt sie zu schließen.

In der Vergangenheit ist das BKA bereits durch seine Trojaner-Programme aufgefallen. Der Einsatz von Staatstrojanern hat in den vergangenen Jahren zugenommen. Um sie in das Zielsystem einzuschleusen, werden IT-Sicherheitslücken ausgenutzt. Das ist der brisante Punkt, an dem der Referentenentwurf des Innenministeriums zur Reform des Nachrichtendienstrechts ins Spiel kommt (wir berichteten aus Sicht des Datenschutzes). Dieser sah vor, dass das BSI zukünftig Software-Schwachstellen an den Bundesnachrichtendienst (BND) weitergeben sollte. Der Referentenentwurf spricht davon die „Schwachstellen in Wert [zu] bringen“. Nach heftiger Kritik von der Bitkom, der AG KRITIS und Weiteren wurde dieser Teil der Reform zwar wieder gestrichen, aber ein Vertrauensschaden ist dennoch entstanden.

Das Meldesystem des BSI hat durch NIS-2 erheblich an Bedeutung gewonnen. NIS-2 hat den Kreis der meldepflichtigen Einrichtungen von ursprünglich rund 4.500 auf geschätzte 29.500 erweitert – die Zahl der neuen Registrierungen blieb jedoch hinter den Schätzungen zurück. Für den Großteil der NIS-2-regulierten Einrichtungen ist das BSI die zuständige Aufsichtsbehörde. Dieses System benötigt das Vertrauen der betroffenen Einrichtungen in das BSI. Dieses wird jedoch durch die strukturelle Nähe zu Nachrichtendiensten und Strafverfolgungsbehörden untergraben.

Das BMI verfügt über einen Zuständigkeitsbereich, der strukturell zu Interessenkonflikten führt. Sollen Schwachstellen in Programmen geschlossen werden, um die Informationssicherheit flächendeckend zu verbessern oder sollen sie offenbleiben, sodass Geheimdienste sie in ihrem Interesse nutzen können? Beides gleichzeitig funktioniert nicht.

Was das BSI braucht: Kompetenz und Unabhängigkeit

Was es in diesen Zeiten bräuchte, wäre neben einer personellen und fachlichen Stärkung des BSI vor allem die Unabhängigkeit der Behörde von den widersprüchlichen Interessen des BMI. Die Stiftung Neue Verantwortung (heute interface) hat dazu bereits 2020 einen Bericht veröffentlicht, der verschiedenen Möglichkeiten erörtert.

Eine Möglichkeit wäre, das BSI als oberste Bundesbehörde zu etablieren. Das würde dem BSI eine besonders starke fachliche Unabhängigkeit gewähren. Zusätzlich würde dies der Informationssicherheit auf Bundesebene deutlich mehr Gewicht verleihen.

Eine weitere Option wäre ein Ressortwechsel. Zum Zeitpunkt der Veröffentlichung des Berichts existierte das heutige Bundesministerium für Digitales und Staatsmodernisierung (BMDS) noch nicht. Dieses dürfte von allen obersten Bundesbehörden diejenige mit den geringsten Interessenkonflikten für das BSI sein und wäre damit eine naheliegende neue Heimat.

Fazit

Es ist ärgerlich, dass die Bundesregierung ihre Pläne aufgibt, das BSI durch eine Grundgesetzänderung zu stärken. Erschwerend kommt hinzu, dass die aktuelle Regierung – anders als die Ampel-Koalition – keinerlei Ambitionen zeigt, das BSI auch unabhängiger aufzustellen. Im Gegenteil deuten Vorstöße, wie bspw. der Referentenentwurf zur Nachrichtendienstreform, in die entgegengesetzte Richtung.

In Zeiten, in denen Cyberangriffe auf Behörden und kritische Infrastrukturen zunehmen und staatliche Akteure gezielt deutsche Ziele ins Visier nehmen, wäre das Gegenteil notwendig. Auch ohne die Grundgesetzänderung stellt das BSI die entscheidende Stelle für die Cybersicherheit in Deutschland dar. Umso bedauerlicher ist es, dass es derzeit keine Bestrebungen gibt die Behörde strukturell zu stärken.

Was bleibt, ist Eigenverantwortung. Das Beste, was Behörden tun können, ist, Informationssicherheit selbst in die Hand zu nehmen. Bei begrenzten Kapazitäten sollte sich auf die wichtigsten Maßnahmen konzentriert werden: 

• Backups: Drei Kopien, auf zwei unterschiedlichen Medien, wovon eine außer Haus gelagert wird. Testen Sie die Wiederherstellungsfähigkeit regelmäßig, sodass Sie im Ernstfall schnell wieder arbeitsfähig sind.
• Incident Response und Notfallmanagement: Ein effektiver Umgang mit Vorfällen und Notfällen kann häufig das Schlimmste verhindern. Dafür müssen die kritischen Systeme identifiziert und der Umgang bei einem Ausfall dieser erarbeitet werden.
• Patchmanagement: Sicherheitslücken sind für Angreifer der Weg in Ihr System. Deswegen sind veraltete Systeme so gut wie möglich zu vermeiden. Ist ein Austausch nicht ohne Weiteres möglich, sollten sie zumindest vom Internet getrennt sein.
• Awareness und Schulungen: Phishing-Mails sind nach wie vor einer der häufigsten Angriffswege. Deswegen sollten alle Mitarbeiter regelmäßig im Umgang mit diesen Mails geschult werden.
• Berechtigungskonzept: Jeder sollte nur so viel Zugriff bekommen, wie unbedingt nötig. Das verhindert, dass ein beliebiges kompromittiertes Benutzerkonto den Angreifern direkt vollen Zugriff auf das gesamte System gewährt. Dabei hilft auch die Einführung von Multi-Faktor-Authentifizierung.

Diese fünf Punkte stellen lediglich eine kleine Auswahl dar. Informationssicherheit ist jedoch ein sehr breites Feld und für unterschiedliche Organisationen sind unterschiedliche Maßnahmen vorrangig. Was zählt ist, dass man anfängt. Die Bedrohungslage nimmt seit Jahren zu. Wer beim Einstieg oder der Weiterentwicklung der eigenen Informationssicherheit Unterstützung braucht, kann auch auf externe Expertise zurückgreifen. Informationen zu unseren Beratungsleistungen im Bereich Informationssicherheit finden Sie hier: dsn-group.de/informationssicherheit