Aktuelles

 Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

 Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Der BSI Grundschutzkatalog ist sehr komplex, die Zertifizierung vor allem für kleinere Unternehmen vor allem auch extrem teuer. Alleine die Kosten für die Prüfung übersteigen die Möglichkeiten vieler Unternehmen.  Allerdings ist das mit Blick auf die Zielsetzung der Kataloge und der Anwendung im Bereich kritischer Infrastruktur (KRITIS) wenig verwunderlich. Für viele KMU ist die erste Herausforderung nicht das Aufsetzen eines ISM – egal wie anstrebenswert das sein mag – sondern alltägliche Sicherheitsaufgaben. Eine sichere Netzwerkseparierung, Patch- und Systemmanagement, die Weiterentwicklung der IT etc. –  Erkennung und Behandlung alltäglicher Sicherheitsvorfälle fällt dabei häufig schon unter den Tisch.

Auch wird die Grundschutz-Zertifizierung in weiten Bereichen nicht verlangt, häufig sind die „kleineren“ Ansätze über ISO 27000 und Ähnliches ausreichend und es müssen nur Teile des Grundschutzkatalogs umgesetzt werden.

Nichts desto trotz wäre es begrüßenswert, wenn die Praxisnähe der Grundschutzkataloge auf den Prüfstand gestellt und für insbesondere KMU ein pragmatischerer Ansatz in der IT-Sicherheit und diesbezüglicher Beratung gefunden wird. Die Unterstützung bei praktischen Sicherheitsüberprüfungen, Listen von qualifizierten Sicherheitsunternehmen auch abseits der speziellen behördlichen oder KRITIS Anforderungen, Konfigurationstipps, Vernetzungs-Cluster und eine Förderung des Informationsaustausches zwischen Unternehmen sind wertvoller, als es der Grundschutzkatalog aktuell ist. Allerdings ist das Thema komplex und das mit dem Grundschutzkatalog verfolgte, relativ hochgesteckte Ziel ist auch nicht einfach zu erreichen.

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Software Defined Anything und Green-IT sind nicht notwendigerweise identisch. Verschiedene neuartige Rechenzentren machen beispielsweise vor, wie sich Abwärme der Anlagen produktiv bspw. für Blockheizkraftwerke oder Ähnliches nutzen lässt anstatt „sinnlos“ Energie zu verschwenden und zusätzliche Kühlleistungen zu benötigen. Solcherart integrierte Ansätze sehen wir hier als zielführend.

Wir glauben, dass die Selbstverpflichtungen und Eigeninteressen der Unternehmen hier bereits sehr gute Verbesserungen zeigen. Die auch regulatorischen Anforderungen an Green-IT sind mehr als ausreichend. Für öffentliche und behördliche IT streben wir eine Orientierung an den jeweiligen Best Practice und eine entsprechend konsequente natürliche Weiterentwicklung an. Regulatorische Eingriffe wie das gesetzliche Festzurren von beispielsweise softwaredefined Networking lehnen wir ab, da es nur selten allgemeingültige Antworten gibt, die sich hier gesetzgeberisch sinnvoll umsetzen lassen – Nicht zuletzt müssen die Lebenszeit der Netzwerk- und IT-Komponenten berücksichtigt werden und überprüft werden, ob ein etwaiger vorzeitiger Austausch in der Betrachtung des Gesamtkreislaufs tatsächlich energetisch sinnvoll ist.

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Die Politik muss hier insbesondere sicherstellen, dass die allgemeine Verfügbarkeit von Sprach- und Datennetzen für die ganze Bevölkerung gewährleistet ist. Moderne und neue Methoden dürfen hier nicht regulatorisch behindert oder gegenüber althergebrachten Techniken benachteiligt werden. Gleichzeitig müssen aber ausreichende Test- und Einführungsphasen, Übergangszeiten und Anpassungsmöglichkeiten gegeben sein. Gerade für ältere oder weniger technikaffine Menschen ist die regelmäßige Anpassung an neue Techniken häufig schwierig. Auch muss sichergestellt sein, dass kritische Infrastruktur auch im Notfall (bspw. Blackout-Szenario) ausreichend funktioniert. All dies macht eine gewisse Regulation notwendig.

Wir glauben, dass die aktuelle Regulation des Telekommunikationsmarktes in Deutschland zu weit geht. Insbesondere werden veraltete oder nur übergangsweise sinnvolle Techniken zu stark gegenüber modernen Techniken bevorzugt. Auch deshalb streben wir einen Verkauf der Telekomanteile des Bundes und eine Investition der Erlöse in den Ausbau moderner Netzwerke an. Deutschland ist ein Technologie- und Bildungsland. Wir müssen sicherstellen, dass die und Entwicklung und Einführung moderner Techniken bei uns nicht durch regulatorische Maßnahmen behindert oder gar verhindert wird.

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Natürlich. Vereinheitlichungen im Datenschutzrecht sind u.A. mit der EU-Datenschutznovelle ja bereits in Arbeit und insbesondere für den Einsatz von Kameras laufen in vielen Bereichen entsprechende Verfahren oder regulatorische Anpassungen, die klare Regelungen zur Folge haben werden. Grundsätzlich halten wir hier Vereinheitlichungen der Regelungssammlungen für sinnvoll.

Das Problemfeld Datenschutz und Kameraüberwachung ergibt sich allerdings nicht erst durch vernetzte Kameras, die Fragestellung ist bei traditionellen Überwachungskameras ja ebenso relevant. Bei vernetzten Kameras kommen für die Käufer andere Fragestellung zur Sicherheit der Kameras, Aktualisierbarkeit und Ähnlichem mit dazu – auch das Mirai-Botnetz demonstrierte das ja eindrücklich. Die Verbände von Herstellern vernetzter Geräte sollten hier Anstrengungen unternehmen, damit Kunden mehr Transparenz bezüglich der Reaktionsgeschwindigkeit der Hersteller  auf Sicherheitslücken und die zu erwartende Pflegedauer der Produkte bzgl. Updates und Ähnlichem erhalten und mit in die Kaufentscheidungen einbeziehen können.

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

Wir begrüßen die Abschaffung des Routerzwangs. Dieser hat aus unserer Sicht tatsächlich zu lange gebraucht. Um die BnetzA hier in Schutz zu nehmen – diese muss einerseits auch vor jeder Entscheidung sicherstellen, dass die Funktionsfähigkeit der Netze nicht beeinträchtigt wird. Deutschland hat hier traditionell eine eher Provider- als Kundenfreundliche politische Ausrichtung gehabt, man denke dabei nur an die 80er Jahre zurück. Vor Allem fehlte es in den vergangenen Jahren an politischer Unterstützung für mehr Nutzerfreiheit. Das ist nicht zuletzt auch eine Folge davon, dass die öffentliche Hand Anteile an einem ehemaligen Staatsunternehmen/Telekommunikationsmonopolisten hält und einige Entscheidungen nur mit Blick auf diese Sondersituation verständlich sind.

Sicherheit von Netzwerkprodukten ist in vielen Bereichen leider nur begrenzt eine Frage von Consumer oder Profihardware, wie bspw. die Enthüllungen um Sicherheitslücken in professionellem Netzwerkequipment gezeigt haben. Egal welche Produktlinien sie verwenden – Unternehmen müssen sich hier noch viel zu sehr darauf verlassen, dass Hersteller auf Sicherheitslücken reagieren und diese schließen, sie können zu wenig beeinflussen oder überprüfen, ob die Hersteller das dann auch tun. Hier bräuchte es mehr Transparenz und beispielsweise überprüfbare Selbstverpflichtungen der Hersteller bezüglich Updatebarkeit, Regelmäßigkeit der Aktualisierungen und Geschwindigkeit der Reaktion auf Sicherheitslücken. Zudem sollten Unternehmen mehr Unterstützung beim Austausch über sichere Konfigurationen und Ähnliches erhalten.

Bezüglich Awareness können und müssen Behörden mehr Informationen über Risiken und Gefahren verbreiten. Es gibt noch zu wenig Vernetzung der Unternehmen untereinander. Zudem scheuen sich noch viele Unternehmen, über eigene Sicherheitsvorfälle zu reden – da gibt es dringenden Handlungsbedarf für die Schaffung einer vertrauenswürdigen, anonymisierenden Meldestelle, die Informationen auch unmittelbar an andere Unternehmen weitergibt – und die allen Unternehmen auch bekannt ist. Das BSI hat hier bei allen Bemühungen auch einen historisch schwierigen Stand, weshalb zu prüfen ist, ob eine unabhängige Meldestelle nicht sinnvoller wäre. Den politischen Bestrebungen, Meldungen von IT-Sicherheitsvorfällen vor Allem für behördliche Zwecke zu nutzen, muss hier eine klare Absage erteilt werden. Weder dient es der allgemeinen Sicherheit, wenn Behörden oder staatliche Organe Schwachstellen in IT-Produkten horten oder für eigene Zwecke nutzen, noch ist es sinnvoll, Hoheitswissen über Art und Anzahl von Vorfällen zu sammeln. Erst durch die (anonymisierte) Weitergabe der Informationen an andere Betroffene entsteht hier ein Mehrwert.

Neben den Forderungen an die Politik, müssen aber auch die Unternehmen und die unternehmerischen Verbände aktiv werden. Es fehlt in vielen Bereichen an grundsätzlichem Verständnis für die Notwendigkeit für IT-Sicherheit insbesondere auch bei KMU. Hier könnten die IHK und andere Unternehmerverbände sehr viel zur Awareness beitragen, indem sie verstärkt Weiterbildungs- und Vernetzungsprogramme anbieten oder entsprechende Bemühungen unterstützen.

Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

BSI Grundschutz und ISO 27001 sind unseres Erachtens kein Gegensatz in der dargestellten Weise: Die Schutzbedarfsfeststellung gemäß IT-Grundschutz zählt bei der ISO Zertifizierung heute zu einem gängigen Verfahren auch für KMU. Idealerweise verbinden sich die prozessorientierten Verfahren des ISO Standards mit dem BSI Grundschutzansatz.

Ungeachtet dessen wollen auch wir Verbesserungen und Erleichterungen für KMU durchsetzen. Wir begrüßen deshalb die vom  BSI verfolgte Vereinfachung des Grundschutzes. 

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-Grundschutz-Modernisierung/Comply_2016_Informationssicherheit_in_Unternehmen.pdf

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Die Digitalisierung kann zur ökologischen Mobilitäts- und Energiewende beitragen. Wir wollen Green-IT-Konzepte vorantreiben und die Energieeffizienz von Geräten, Übertragungswegen und Rechenzentren weiter verbessern. Wir setzen uns für eine Digitalisierungspolitik ein, die diese Prozesse beschleunigt und begleitet sowie gleichzeitig die Daten der Verbraucherinnen und Verbraucher schützt. Smart Grids – intelligente, digital gesteuerte Netze – helfen, die schwankenden Strommengen aus Wind und Sonne auszugleichen. Digital miteinander vernetze Verkehrsträger und Verkehrsströme sind intelligent steuerbar.

Darüber hinaus wollen wir auch die Hersteller von IT-Geräten für den Ressourcenschutz stärker in die Pflicht nehmen und den durch die Digitalisierung stark gestiegenen Energieverbrauch senken, beispielsweise durch proaktive Anreize für innovative Green-IT-Konzepte. Die Unternehmen haben es in der Hand durch intelligentes Design ihre Produkte sicher, langlebig, reparaturfähig und wiederverwendbar zu gestalten. Dafür wollen wir die Produktverantwortung und –haftung stärken.

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Die Abschaltung der Analogtelefonie muss aus unserer Sicht nicht unbedingt zum Nachteil der Verbraucherinnen und Verbraucher sein. In der Welt der IP-Telefonie hängt allerdings zum einen vieles von einem gelungenen Netzwerkmanagement der Anbieter ab. Netzwerküberlastung kann zu einer Störung der Verbindungsqualität oder sogar zu Verbindungsabbrüchen führen. Aus unserer Sicht sind die Regulierer in der Pflicht, hier Mindestqualitätsvorgaben für die Verbindungsqualität zu entwickeln, wie es in einigen Universaldiensteverordnungen (z.B. der österreichischen) bereits der Fall ist. Zum anderen können Störungen aufgrund von zentralisierter IT-Infrastruktur leicht skalieren, sodass bei technischen Problemen häufig eine hohe Anzahl von Teilnehmern betroffen ist. Hier müssen die Aufsichtsbehörden aus unserer Sicht angemessene Fristen festlegen, innerhalb derer die Unternehmen Störungen beheben müssen. Grundsätzlich ist aber IP-Telefonie jeglicher Art auf einen bereits bestehenden Zugang zum Internet angewiesen. Dieser Zugang wird von Netzbetreibern bereitgestellt, die zugleich die Aufgabe haben, die Konnektivität älterer Technik sicherzustellen, um ihre Universaldienstverpflichtungen zu erfüllen. Das Erbringen von Telekommunikationsdienstleistungen bedeutet insofern einen technischen Aufwand, der finanziert werden muss, wenn man das Recht auf einen Telefonanschluss von festen Standorten aus weiterhin gewährleisten will.

Ein regulatorisches level playing field zwischen Anbietern von Telekommunikationsdiensten und OTT-Anbietern ist aus unserer Sicht keine Selbstverständlichkeit, da beide Arten von Anbietern nicht auf demselben Spielfeld spielen, sondern die einen Dienste über das offene Internet anbieten, während die anderen Dienste anbieten, die eigene Infrastruktur voraussetzen. Anbietern, die ihre Dienste auf der Basis des Zugangs zu fremder Infrastruktur anbieten, können aus technischen Gründen bestimmte Anforderungen, die an infrastrukturbasierte Dienste gestellt werden, nicht erfüllen. Ihnen dies gleichwohl abzuverlangen, würde sie benachteiligen, sprich die gleiche Regulierung hätte auf unterschiedliche Arten von Anbietern unterschiedliche Auswirkungen.

Wir befürworten Klarstellungen insbesondere auf EU-Ebene im Rahmen der laufenden Diskussion um die E-Privacy-Verordnung, welche das Telekommunikationsgeheimnis auch im Rahmen der Nutzung von sog. OTT-Diensten sicherstellen. Um staatliche und andere kritische Infrastrukturen zu schützen, werden wir die Entwicklung von umfassenden Sicherheitskonzepten vorantreiben und fördern. Eine durchgehende Ende-zu-Ende-Verschlüsselung werden wir zum Standard machen.

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Die Videoüberwachung öffentlich zugänglicher Räume durch Unternehmen ist bundesweit einheitlich geregelt.  Richtig ist allerdings, dass diese Vorschrift des 6 b BDSG der Auslegung der Aufsichtsbehörden am Einsatzort folgt. Und auch für Kameras der Verwaltung gelten rechtlich, auch in ihrer analogen Form, die am Einsatzort geltenden Vorgaben, also Landesrecht. Die Europäische Datenschutzgrundverordnung, die ab Mai 2018 neben dem BDSG zum Einsatz kommt, wird sowohl für Kameras der Verwaltung als auch der Wirtschaft gewisse vereinheitlichende Wirkung haben. Dazu werden auch die Leitlinien des neu geschaffenen EU-Datenschutzausschusses beitragen. 

Für das Polizeirecht gilt weiterhin die föderale Ordnung, die wir, auch aus rechtsstaatlichen Gründen, erhalten wollen. Einer Vereinheitlichung auf der Grundlage freiwillig einzuhaltender Standards der Normierung, etwa durch einen unabhängigen wissenschaftlichen Musterentwurf eines Polizeigesetzes, stellen wir uns nicht entgegen.

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

Die Diskussion um die Zwangsrouter, die die Wahlfreiheit der Nutzerinnen und Nutzer stark einschränken und auch aus IT-sicherheitspolitischer Sicht fragwürdig sind, wurde von der großen Koalition viel zu lang geführt. Wir teilen Ihre Ansicht, dass die mehrfachen Volten der Bundesnetzagentur nicht zu einer rechtssicheren und schnellen Beendigung des Routerzwangs beigetragen haben. Die staatliche Pflicht zur Gewährleistung der IT-Sicherheit wurde bisher vernachlässigt. Die IT-Sicherheit ist von zentraler Bedeutung für die weitere Digitalisierung, daher werden wir diese fördern. Hinsichtlich Informationssicherheit sehen wir das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits jetzt als zentralen Ansprechpartner. Gerade um diese Funktion zu stärken, fordern wir eine, zumindest im Rahmen der Ausübung der Beratungsaufgaben für Wirtschaft und Zivilgesellschaft, gesetzlich abgesicherte institutionelle Unabhängigkeit des BSI. Aber auch der Mittelstand muss für die steigende Bedeutung der IT-Sicherheit stärker sensibilisiert werden. Fragen der IT-Sicherheit sollten als ein selbstverständlicher Teil verantwortlicher Unternehmensführung wahrgenommen werden, denn die gewachsenen Risiken erlauben auch in KMU praktisch keine Nachlässigkeiten mehr. Ebenso wollen wir im Sinne eines nachhaltigen IT-Einsatzes die Rechte von NutzerInnen stärken, auf ihren Geräten freie und offene Software und Firmware einzusetzen.

 Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

 Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Ich teile die Einschätzung, dass die Grundschutzkataloge für kleine Unternehmen zu komplex sind. Aus der Praxis als Einzelunternehmer kann ich selbst sagen, dass die Anforderungen allenfalls nur teilweise umzusetzen sind. Viele Maßnahmen sprechen Organisationsstrukturen an, die es in kleinen oder in Einzelunternehmen gar nicht gibt. Im Einzelunternehmen ist beispielsweise der Unternehmer selbst die Leitungsebene und gleichzeitig der Hauptverantwortliche für IT-Sicherheit.

Die Kataloge sind also überwiegend nicht für KMU oder gar Einzelunternehmer geeignet. M. E. müssen die Kataloge daher noch weiter an die Größe und die Möglichkeiten des Unternehmens angepasst werden. Vorstellbar wären z. B. abgestufte Konzepte, die es Einzelunternehmern und KMU erlauben, im Rahmen ihrer Möglichkeiten bestimmte grundlegende Maßnahmen umzusetzen. Hier sollte eine Arbeitsgruppe im Bundestag zusammen mit Experten aus den verschiedenen Unternehmensgrößen ein für  alle tragfähiges Konzept erarbeiten. Sicherlich wird es auch weiterhin für KMU und Einzelunternehmer nicht möglich sein, jede Maßnahme umzusetzen und jeden Audit zu ermöglichen. Aber eine bessere Anpassung an die Möglichkeiten von KMU und Einzelunternehmern ist dringend erforderlich.

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Zunächst: Software defined ist für mich ein Buzzword, dem es an Schärfe fehlt, weil darunter je nach Anbieter die unterschiedlichsten Dinge verstanden werden. Das mag zunächst launisch klingen, ist m. E. aber auch politisch nicht ganz ohne Relevanz. Von politischer Seite müsste man sich zumindest in diesem Punkt zunächst einmal auf eine klare normierte Definition einigen, um Maßnahmen zu gestalten, damit nicht jeder was anderes macht, wie es in so vielen Bereichen schon der Fall ist.

Was die Green IT im öffentlichen Raum angeht, muss ich als aktiver Kommunalpolitiker generell sagen: Die Mühlen mahlen nicht nur da langsam. Öffentliche Stellen sind teilweise in einem so starren Korsett, dass sich da wenig bewegen lässt. Ich sehe nur zwei Möglichkeiten, hier weiterzukommen. Entweder den unteren Verwaltungsebenen wird eine Umstellung per Gesetz verordnet, oder Kommunalpolitiker werden auf das Thema aufmerksam gemacht und bringen unter Bezugnahme auf die Förderprogramme das Thema in die jeweiligen Kommunalparlamente ein. Meiner Erfahrung nach kann das durchaus erfolgreich sein, wenn es Geld gibt.

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Hier fehlt m. E. vor allem der politische Wille. Insbesondere Ende-zu-Ende-Verschlüsselung ist aus meiner Sicht nicht wirklich gewollt, da sie dem überbordenden Sicherheitsstreben unseres Staates zuwiderläuft. Es bräuchte also zu allererst eine Regierung, die auch den Willen hat, den Schutz der Bürgerinnen und Bürger durch diesen technischen Fortschritt zu ermöglichen. Dafür steht zum Beispiel die Piratenpartei. Ob es sinnvoll ist, die Unternehmen gesetzlich zur Umstellung zu zwingen, bezweifle ich. Hier machen Förderprogramme, die den Unternehmen Anreize geben, mehr Sinn als Sanktionen.

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Neutral betrachtet wäre dazu eine umfassende Föderalismusreform notwendig, um Kompetenzen an den Bund zu geben, die jetzt in Länderhand liegen. Das ist ein Weg, an den ich nicht glaube und den ich auch nicht für sinnvoll halte, da das Föderalismusprinzip eine wichtige Grundlage unseres Staates ist.  Ganz generell sehe ich aber auch die Anwendung dieser Technologien mit großer Skepsis. Natürlich ist eine Kameraüberwachung im Unternehmen nochmal etwas anderes als im öffentlichen Raum, und das Unternehmen hat das Recht, diese Technologien in seinem Sinne zu nutzen. Aber auch da wird man als Bürger mittlerweile auf Schritt und Tritt überwacht, etwa in der Bank oder im Supermarkt. Durch die kürzlich aufgekommenen Versuche, von staatlicher Seite auch auf private Überwachungskameras zuzugreifen, ist die Gefahr einer Totalüberwachung im öffentlichen Raum durchaus in greifbarer Nähe. Das lehne ich ab. Ich halte die Anwesenheit von Sicherheitspersonal für datenschutzfreundlicher und effektiver. Im ÖPNV in Berlin und im Rheinland funktioniert das recht gut.

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

Bei der Frage, Awareness im Bereich der Informationssicherheit zu steigern, stößt man m. E. auf ein hauptsächliches Problem. Ich zitiere hierzu einfach mal aus einem Blogartikel, den ich zum Thema IT-Security als psychologischer Prozess vor fast drei Jahren geschrieben habe:

“IT-Sicherheit ist zu oft nur an technischen Lösungen orientiert. Die psychologische Seite, das Verhalten der Beteiligten, wird meist komplett ausgeblendet. In diesem Artikel möchte ich daher darlegen, warum ich der Meinung bin, dass IT-Sicherheit nicht primär ein Problem ist, das auf der technischen Ebene zu lösen ist, sondern ein psychologischer Prozess. Zahlreiche psychologische Faktoren beeinflussen diesen Prozess und entscheiden darüber, ob IT-Security erfolgreich implementiert werden kann oder nicht.

Wissen: Wissen ist einer der zentralen psychologischen Faktoren in diesem Prozess. Die Sicherheit einer eingesetzten Software hängt vom Wissen des Programmierers der Software ab. Die Implementierung und Wartung sicherer Systeme setzt profundes Wissen der zuständigen Administratoren voraus. Und natürlich benötigen auch die Mitarbeiter, die die Systeme tagtäglich benutzen, ein gewisses Maß an Wissen für den sicheren Umgang damit. Darüber hinaus muss dieses Wissen regelmäßig auf den neuesten Stand gebracht und aufgefrischt werden.

Die (Un)fähigkeit von Menschen, komplexe Systeme zu handhaben: Software und IT-Systeme sind oft sehr komplexe Systeme. Das bedeutet, dass sie viele Elemente umfasssen, die miteinander verknüpft sind und sich gegenseitig beeinflussen. Aus psychologischen Untersuchungen weiß man, dass Menschen nicht sonderlich gut darin sind, mit allzu komplexen Systemen umzugehen. Je komplexer ein System ist, umso wahrscheinlicher ist es daher, dass sicherheitsrelevante Fehler bei der Programmierung, Implementierung, Wartung oder Benutzung des Systems passieren oder sicherheitsrelevante Prozesse vereinfacht oder umgangen werden, um Komplexität zu reduzieren. Ein bekanntes Beispiel dafür ist die Wahl schwacher Passwörter oder die Verwendung ein und desselben Passworts für alle Accounts.

Motivation: IT-Security wird insbesondere von Anwendern oft als lästige Pflicht empfunden. Sicherheitsregeln erschweren die Arbeit und gehen zu Lasten der Effektivität. Der Nutzen von Policies bleibt Anwendern dagegen oft verborgen, solange nichts passiert. Sie profitieren nicht direkt von ihrer Einhaltung. Das senkt die Motivation, Regeln zum sicheren Umgang mit IT zu beachten.

Emotionen: Angreifer, die ein IT-System kompromittieren wollen, agieren oft auf der emotionalen Ebene, um sich mittels Social Engineering Zugang zu IT-Systemen zu verschaffen. Ein beliebtes und oft sehr erfolgreiches Angriffsszenario ist beispielsweise, Mitarbeitern ein schlechtes Gewissen zu machen oder Angst vor Konsequenzen zu schüren, wenn sie den Anweisungen des Angreifers nicht folgen. Die Folge sind Stresssituationen, in denen Mitarbeiter nicht mehr rational handeln. Emotionen spielen so regelmäßig eine entscheidende Rolle bei Einbrüchen in IT-Systeme.

Routine und Monotonie als Sicherheitsrisiko: Aus der Arbeitspsychologie wissen wir, dass Routine und Monotonie die Wahrscheinlichkeit von Arbeitsunfällen erheblich erhöhen können. Gleiches gilt für IT-Security. Zwar ist Routine in einem gewissen Maß auch förderlich, um sicherheitskonformes Verhalten zu verinnerlichen. Auf der anderen Seite kann das Wissen, etwas sehr gut zu beherrschen, dazu führen, dass Prozeduren lax gehandhabt, abgekürzt oder gar umgangen werden, was sich negativ auf die Sicherheit auswirken kann.

Die Abstraktheit von Sicherheitsrisiken: Wie bereits angedeutet, besteht ein erhebliches Problem darin, dass Gefahren für die IT-Sicherheit oft als sehr abstrakt empfunden werden. Unter Umständen werden die Auswirkungen eines erfolgreichen Angriffs zunächst gar nicht bemerkt. Darüber hinaus sind auch die positiven Auswirkungen der Beachtung von Sicherheitsmaßnahmen meist nicht sichtbar. Wer sie beachtet, hat kein direktes Erfolgserlebnis. Der Erfolg besteht darin, dass nichts passiert.

Diese Ausführungen sollten deutlich machen, dass es nicht ausreicht, IT-Security als rein technisches Problem zu sehen, das mit der Implementierung bestimmter Technologien gelöst werden kann, wie es leider allzu oft üblich ist. Erfolgreiche IT-Security ist vielmehr von der Entwicklung bis zur Anwendung ein komplexer psychologischer Prozess. Auf allen Ebenen müssen die Akteure ausreichendes Wissen mitbringen, das auf dem neuesten Stand zu halten und regelmäßig aufzufrischen ist. Systeme müssen so wenig komplex wie möglich gestaltet sein, um Sicherheitsmängeln durch eine Überforderung angesichts allzu hoher Komplexität oder durch eigenmächtige Komplexitätsreduktion seitens Administratoren und Anwendern vorzubeugen. Programmierer, Administratoren und Anwender müssen stets aufs Neue motiviert werden, IT-Sicherheit ernst zu nehmen. Sie müssen in Social Engineering geschult werden, um emotionalen Stress, den ein Angreifer erzeugen will, frühzeitig erkennen und Gegenmaßnahmen ergreifen zu können. Routine und Monotonie bei sicherheitsrelevanten Abläufen ist ebenso vorzubeugen wie der Wahrnehmung von Sicherheitsrisiken als vollständig abstrakt. Hier können beispielsweise regelmäßige Übungen helfen, die Mitarbeitern die Konsequenzen ihres Handelns direkt vor Augen führen und so Erfolg bei der Beachtung von Policies, aber auch negative Konsequenzen bei ihrer Missachtung sichtbar machen.”

Das ist jetzt eine etwas längliche Ausführung, die ich aber für nötig halte, um meine Idee zur Steigerung von Awareness zu skizzieren. Ich könnte mir gut vorstellen, dass diese Eckpunkte parallel zu den existierenden Richtlinien zum Gesundheitsschutz im Unternehmen auf EU- oder Bundesebene in Richtlinien- oder Gesetzesform gegossen werden, um so konkrete Maßnahmen für Unternehmen festzuschreiben.

Ich halte die Kritik an der Bundesnetzagentur für richtig. Der Routerzwang hätte längst abgeschafft werden müssen. Dass die Kritik aber nur die Bundesnetzagentur betrifft, bezweifle ich. Schließlich war dafür eine Gesetzesänderung notwendig. Erst 2016 wurde das Telekommunikationsgesetz an die zu diesem Zeitpunkt bereits 8 Jahre alte EU-Richtlinie 2008/63/EG angepasst. Hier hat nicht nur die Bundesnetzagentur geschlafen, sondern auch die Bundesregierung. Ich bin mir sehr sicher, dass auch dabei Lobby-Interessen im Spiel waren.

 Wo sehen Sie Ansätze diese Diskrepanz in der Zukunft zu schließen?

Maersk ist nur Eines von vielen Unternehmen, die Opfer von Cyberattacken
wurden:
https://www.heise.de/newsticker/meldung/NotPetya-Maersk-erwartet-bis-zu-300-
Millionen-DollarVerlust-3804688.html. Ein weiterer spektakulärer Angriffe war
der auf den Deutschen Bundestag https://www.heise.de/thema/Bundestags_Hack
oder gegen Kliniken in England:
https://www.morgenpost.de/politik/article210553117/Krankenhaeuser-in-Englanddurch-
HackerAngriff-lahmgelegt.html. Dabei spielt es keine Rolle, ob der Hintergrund geheimdienstlich oder kriminell ist – die Auswirkungen sind immer fatal und werden mit zunehmender Vernetzung und Industrie 4.0 täglich grösser. Wir müssen feststellen: Sichere Computer gibt es nicht!
http://www.faz.net/aktuell/feuilleton/debatten/ueberwachung/sandro-gaycken-zurit-
hochsicherheit-werft-eure-computer-weg-12662971.html
https://www.bundestag.de/blob/278504/448f91d638435d61c8986abc27cbee4a/stel
lungnahme_sandro_gaycken-pdf-data.pdf.

Die etablierte Politik geht aber in meinen Augen wie so oft die falschen Wege und beschneidet die Freiheit und Bürgerrechte unter dem Deckmantel der Bekämpfung der Cyberkriminalität

http://politik-digital.de/news/europaeische-cybersicherheitspolitik-aufundemokratischen-
wegen-119347/

BDI Grundschutzkataloge:
https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKatalog
e/itgrundschutzkataloge_node.html
Das ist richtig – die Themenkomplexe sind sehr juristisch geprägt. Das versteht in der Praxis niemand, der Anwender und Endkunde schon gar nicht. IT-Leute sind Techniker, keine Juristen! Erschwerend kommt hinzu: Wo immer Berater erforderlich sind, steigen die Kosten und der Anwender/Endkunde muss letztendlich vertrauen, dass er nicht mangels eigener Urteilskraft abgezockt wird. Wo “Zertifizierung” drauf steht, ist Bürokratie drin. Davon haben wir aber heute schon viel zu viel, vor allem für die KMUs und den Mittelstand. Für die Zukunft muss die Praxisorientierung im Vordergrund stehen. Cybersicherheit muss auf Niveau der Anwender verständlich gemacht werden, ein Problembewusstsein muss geschaffen werden. Vieles ist eigentlich relativ banal (Datensicherungsverfahren, Schutzsoftware, Firewalls). Die Sicherheit von IT-Systemen für den beruflichen Alltag muss ins Problembewusstsein der Anwender wie eine Krankenversicherung rücken. Viele Unternehmen sparen hier an der falschen Stelle, weil sie die Möglichkeiten und Folgen von Cyberangriffen unterschätzen. Zudem muss im Rahmen der Schul- und Berufsbildung in allen Branchen endlich mehr IT-Grundlagenwissen gelehrt werden. Die meisten Menschen heute haben keine Ahnung, was in ihrem Tablet, Smartphone oder PC vor sich geht. Daher haben es Cyberangriffe auch so leicht (siehe Verschlüsselungstrojaner als E-Mail-Anhang).

Wie wollen Sie die Green-IT der Zukunft im öffentlichen Raum gestalten?

Green-IT (https://de.wikipedia.org/wiki/Green_IT) ist der Oberbegriff für ressourcenschonenden IT-Betrieb. Im wesentlichen meint man damit den sparsamen Energieverbrauch während des Betriebes. Nebenbei ist aber auch die  ressourcenschonende Herstellung und die umweltfreundliche Entsorgung der Geräte gemeint. Genaugenommen sollte das für alle technischen Produkte gelten. IT-Produkte haben hier nur insofern einen Sonderstatus, weil sie nahezu alle Lebensbereiche durchdrungen haben und allgegenwärtig betrieben werden. Das Thema “Green-IT” verwenden Hersteller aber gerne auch als Marketinginstrument, um über die Zertifizierung irgendwelcher Labels (http://www.greencomputingportal.de/category/webkatalog/allgemein/greenit-zertifikate/) Produkte teurer verkaufen zu können. Für den Anwender ist dies i.d.R. nicht bewertbar. IT-Investitionen im öffentlichen Bereich müssen, wie alle anderen öffentlichen Investitionen auch, ausgeschrieben werden. I.d.R. bekommt den Zuschlag für eine Lösung der günstigste Anbieter. Dabei spielen  Detaillösungen oder Green-IT-Zertifikate meistens eine untergeordnete Rolle. Die  Entscheider in den öffentlichen Einrichtungen (Kommunen etc.) sind oft nicht in der Lage, technische Lösungen auszuarbeiten und die Angebote fachlich zu bewerten. Daher sollte es eine stärkere Standardisierung von Komponenten geben. Diese kann man im Rahmen von Ausschreibungen dann einfach einfordern. Für die AfD ist das Thema “CO2-Fußabdruck” in diesem Zusammenhang jedoch irrelevant. CO2 ist kein Schadstoff und weder wegen der geringen Menge in der Atmosphäre (0,04%) noch nach Meinung der IPCC-Berichte für den sog. Klimawandel verantwortlich. Es macht daher keinen Sinn, Investitionen unnötig teuer danach auszurichten. (siehe Energie- und Klimakonzept der
AfD https://www.afd.de/wp-content/uploads/sites/111/2017/08/2017-08-07_afd_btw_faltblatt_energie-1.pdf). Aber natürlich ist der Energieverbrauch relevant – weil unsere Stromkosten ca. 50% teurer sind, als sie sein müssten, kann sich Green-IT rechnen und bei öffentlichen Investitionen auch öffentliche Gelder (also Steuern) sparen.

Wie glauben Sie müsste die Politik in diesem Bereich auf den technischen Fortschritt, insb. in einem regulierten Markt reagieren?

Sie schneiden hier ein komplexes Thema an: Zum einen kollidieren die Prinzipien eines freien Marktes mit den Anforderungen an ein wichtiges Allgemeingut. Telekommunikationsnetze sind gleichermaßen zu bewerten wie die Wasserversorgung oder die Straßen eines Landes. Während letztere unter staatlicher Hoheit gebaut und betrieben werden, hat man die Telekommunikationsnetze privatisiert. Zwangsweise stehen dann wirtschaftliche Parameter im Vordergrund. Wettbewerb führt zu Preissenkungen, Gewinnstreben zu Einsparungen, u.U. Qualitätseinbußen. Oligo- oder Monopole hingegen zu hohen Preisen. Konkret:
Internetanschlüsse in Ballungszentren – großes Angebot, viele Anbieter und niedrige Preise. Auf dem Land hingegeben oftmals wenige bis nur einen Anbieter, eingeschränktes Produktangebot und höhere Preise. Vor der Privatisierung – im Wesentlichen ein Netzanbieter. Heute: viele Netzbetreiber, unterschiedliche verknüpfte Netze. Störungen in einem Netz können weitreichende Auswirkungen auch auf Benutzer in anderen Netzen
haben (wie neulich durch eine Routerstörung bei Unity Media oder einen Cyberangriff auf tausende Telekom-DSL-Router geschehen
https://www.swr.de/landesschau-rp/gut-zu-wissen/cyber-angriff-auftelekom-router-das-steckt-hinter-der-internet-attacke/-/id=233210/did=18594598/nid=233210/hu31mc/index.html).

Dies macht die Entstörung komplexer und dauert länger. Niemand hat mehr das ganze Netz “im Griff”. All IP hat technisch den großen Vorteil, dass man nur noch eine Technologie (IP) braucht, um viele verschiedene Dienste darauf abzubilden. Das separate Telefonnetz ist nicht mehr nötig, weil die Sprache codiert und ebenfalls via IP transportiert wird. Es sind nur Datenpakete, die über beliebige Anbieter/Netzbetreiber transportiert werden können. Darin liegt gleichzeitig auch das Gefahrenpotential: Ohne Ende-zu-Ende-Verschlüsselung ist es relativ einfach möglich, Datenpakete abzufangen und mitzuschneiden. Verschlüsselung aber fordert leistungsstärkere Netzwerkkomponenten (Sprache ist Echtzeitkommunikation) und steht staatlichen Interessen (z.B. bei Ermittlungen) entgegen. Da alles über ein Netz läuft, sind bei Angriffen auf dessen Komponenten (Router etc.) eben auch Telefonnetze gefährdet. Die Möglichkeiten der Politik sind begrenzt. Ein globales Netz aus vielen Teilnetzen kann kaum von einer regionalen Politik gestaltet werden. Für den Standort Deutschland sollte sie für einen massiven Ausbau der Glasfasernetze sorgen. Es ist zu überlegen, ob
Kernkomponenten und “Datenautobahnen”, die strategisch wichtig sind, nicht besser staatlich betrieben werden sollten. Dazu gehören auch NOCs (Network Operations Centers), über die die Netze gemonitort und gegen Cyberangriffe geschützt werden können. Anwender hingegen sollten sich mit Verschlüsselung beschäftigen und ihre Sprachkommunikation wie die Datenkommunikation mit Firewalls und anderen Sicherheitskomponenten absichern. Dazu gehören auch Backup-Leitungswege und eine ausreichende Notstromversorgung. All IP wird derzeit durch die Umstellung der Telekom
(Abschaffung von ISDN) vielen Bürgern bekannt. Viele Erfahrungen der letzte Monate haben dabei gezeigt, dass die von ISDN gewohnte Sprachqualität und Verfügbarkeit mit All IP heute aus obigen Gründen noch nicht gewährleistet werden kann, vor allem  außerhalb der Ballungszentren in der Fläche und auf dem Land. Hier müssen die Anbieter  dringend an den Netzen arbeiten, auch wenn hier Quersubventionen mit  profitableren Bereichen erforderlich sein sollten. Die Politik sollte hier “sanften Druck” ausüben, denn in Baden-Württemberg finden sich viele KMUs und Mittelständler  außerhalb der Ballungszentren – und die sind gerade auch im Hinblick auf die Zukunft (Industrie 4.0) auf stabile und verlässliche Kommunikationsverbindungen angewiesen.

Sehen Sie Möglichkeiten hier Datenschutz und Rechtssicherheit auf lange Sicht politisch zu vereinen?

Theoretisch erscheint eine Vereinheitlichung zwar bundesweit möglich – aber praktisch ist die Politik ja z.B. nicht mal in der Lage, ein einheitliches bundesweites polizeiliches Fahndungssystem aufzubauen. Es liegt auch daran, dass zu oft zu viele Juristen und Beamte in solchen Vorhaben leitend tätig sind – anstatt Fachleute und IT-Spezialisten. In jedem Fall fehlt erkennbar der politische Wille aller Landesregierungen, bestimmte Gesetze und Funktionen auf Bundesebene zu verlagern und vereinheitlichen zu wollen. Unterschiedliche Datenschutzgesetze auf Landesebene machen keinen Sinn. Wichtig dabei ist – weniger ist mehr: die AfD möchte auch hier Bürokratie abbauen! Bei einer Neuordnung und Vereinheitlichung sollte die Chance zur Vereinfachung und Verschlankung genutzt werden.

Können Sie Ihre Strategie zur Steigerung der Awareness im Bereich Informationssicherheit skizzieren und wie bewerten Sie die Kritik, die Bundesnetzagentur hätte mit diesem Vorfall gezeigt sie wäre zu bürokratisch und zu dicht an den falschen Interessengruppen?

Die Bundesnetzagentur (BNetzA) mit >2.500 Mitarbeitern ist eine große Behörde mit einem breiten Aufgabenspektrum und damit “per Design” bürokratisch und schwerfällig. Eine Aufteilung in kleinere fachspezifische Aufsichtsorgane könnte u.U. von Vorteil sein. Die Gefahr zu großer Nähe zu Interessengruppen ist in allen Bereichen der Politik/Behörden gegeben (siehe z.B. Gesundheitswesen). Der Routerzwang war gesetzlich erzwungen und konnte erst 2016 endlich abgeschafft werden. Dem Anspruch der Netzbetreiber, nur bestimmte Netzzugangskomponenten haben zu wollen, die man als Netzbetreiber auch gegen den Kunden geschützt konfigurieren kann, steht der Anspruch des Endkunden und Bürgers gegenüber, ab Anschlussdose eigene Geräte nach eigenen Anforderungen unter eigener Kontrolle betreiben zu wollen. Letzteres ist auch im Sinne der AfD, die die Freiheit der Bürger in den Vordergrund stellt. Im Hinblick auf die Awareness im Bereich Informationssicherheit komme ich auf meine Antwort bei Frage 1 zurück: Anwendern muss ein Problembewusstsein geschaffen werden und das Thema muss auf einer schulischen IT-Grundausbildung aufbauend in Schule und betrieblicher Ausbildung thematisiert werden. Die besten Router/Firewalls/Security Appliances sind nutzlos, wenn ihre Funktion nicht verstanden wird und potentielle Schäden durch Cyberangriffe nicht im Bewusstsein der Anwender sind.