eco warnt vor Schwächung der Vertrauenswürdigkeit digitaler Kommunikation

Staatliche Überwachung statt Erhöhung der IT-Sicherheit in der eco-Kritik

[datensicherheit.de, 16.12.2020] Mit den am 16. Dezember 2020 vom Bundeskabinett „in aller Eile beschlossenen Entwürfen für ein IT-Sicherheitsgesetz 2.0, das neue Telekommunikationsgesetz sowie das BND-Gesetz“ schwäche die Bundesregierung nachhaltig die allgemeine IT-Sicherheit und beschädige die Vertrauenswürdigkeit digitaler Kommunikation in Deutschland, kritisiert der eco – Verband der Internetwirtschaft e.V. und sieht eine fehlende Rechts- und Planungssicherheit für Unternehmen bei geringem Mehrwert für IT-Sicherheit. Die Bundesregierung sollte demnach Beratungen des IT-Sicherheitsgesetz 2.0 zugunsten europäischer Regelung zurückstellen

Foto: eco e.V.

Klaus Landefeld: Die Internetwirtschaft braucht objektive, sachgerechte und angemessene Vorgaben

eco bemängelt Ausweitung staatlicher Überwachung

„Nicht ‚Verbesserung der IT-Sicherheit‘, sondern ‚Ausweitung staatlicher Überwachung‘ lautet die korrekte Überschrift, unter der diese Gesetzesvorgänge eingeordnet werden können“, so der stellvertretende eco-Vorstandsvorsitzende, Klaus Landefeld, in seinem Kommentar. Alle drei Entwürfe enthielten Regelungen zur Überwachung digitaler Kommunikation, die gleichzeitig zu einer Schwächung der IT-Sicherheit führten.
Im IT-Sicherheitsgesetz 2.0 betreffe dies beispielsweise den Umgang mit Informationen über Sicherheitslücken und Daten, welche das BSI im Rahmen seiner neuen Befugnisse erhebt. Das Gesetz sehe unter anderem vor, dass das BSI Informationen über Sicherheitslücken zurückhalten solle, sofern es Sicherheitsbehörden gegenüber zur Verschwiegenheit verpflichtet sei.
Auch solle das BSI nun Datenverkehr an von ihm benannte Server umleiten lassen sowie selbst Angriffe auf IT-Systeme vortäuschen und im Zuge dessen auch in diese Systeme eindringen dürfen.

eco moniert überzogen strenge, teils nichtzielführende Anforderungen

Das TKG erweitere den Definitionsbereich der Telekommunikationsdienstleister, die künftig verpflichtet würden Überwachungsmaßnahmen umzusetzen und halte entgegen der inzwischen drei existierenden EuGH-Urteile weiterhin an der anlasslosen massenhaften Vorratsdatenspeicherung fest, welche in dieser Form als unionsrechtswidrig einzustufen sei.
Das BND-Gesetz schließlich ermögliche es dem Bundesnachrichtendienst zudem, das Kommunikationsverhalten sowie die GPS- und Bewegungsdaten von beliebigen Personen im In- und Ausland ohne Weiteres zu überwachen. Neben der allgemeinen Informationsbeschaffung im Internet zählten hierzu auch Daten, „die beim Online-Banking, bei Hotelbuchungen sowie über Mobilfunkgeräte und Navigationssysteme übermittelt werden“.
Überdies bedeuteten diese Regelungen für die betroffenen Unternehmen teils erhebliche Einschnitte in ihre Rechts-, Planungs- und Investitionssicherheit: „Im Namen der IT-Sicherheit von TK-Netzen und bei TK-Diensten werden überzogen strenge, teils nichtzielführende Anforderungen gestellt, die die IT-Sicherheit kaum erhöhen dürften, dafür aber die betroffenen Unternehmen vor erhebliche Herausforderungen stellen und schlimmstenfalls in ihrer Geschäftstätigkeit einschränken werden“, erläutert Landefeld.

eco plädiert für Abwarten der Entwicklungen auf europäischer Ebene

Ein zentrales Problem sei die fehlende Synchronisierung mit der europäischen Gesetzgebung, die eco mehrfach im Kontext des IT-SiG 2.0 angemahnt habe. Dies betreffe insbesondere die Harmonisierung des IT-Sicherheitsgesetzes mit der geplanten, von der EU-Kommission am 16. Dezember 2020 vorgestellten Überarbeitung der Richtlinie zur Gewährleistung einer hohen Netzwerk- und Informationssicherheit (NIS) auf europäischer Ebene:
„Eine vorschnelle nationale Regulierung birgt das Risiko, anschließend noch einmal gesetzgeberisch tätig werden zu müssen , weil im IT-Sicherheitsgesetz und in der NIS-Richtlinie systematisch unterschiedliche Ansätze verfolgt und unterschiedlich geregelt werden. Besser wäre es vor diesem Hintergrund gewesen, wenn man den Kabinettsbeschluss zum IT-SiG 2.0 zurückgestellt und die weiteren Entwicklungen auf europäischer Ebene abgewartet hätte“, sagt Landefeld. Für Unternehmen würden diese Nachbesserungen oft mit zusätzlichen Kosten verbunden sein, um bereits implementierte Systeme und Lösungen nochmals für die zusätzliche europäische Regulierung anzupassen.
„Die Internetwirtschaft braucht keinen Wildwuchs an Sicherheitsanforderungen, sondern objektive, sachgerechte und angemessene Vorgaben, welche den rechtsstaatlichen Anforderungen in Deutschland und Europa genügen“, betont Landefeld in seinem Fazit.

Weitere Informationen zum Thema:

eco VERBAND DER INTERNETWIRTSCHAFT E.V., 11.12.2020
Anmerkungen zum RefE TKMoG (Stand 9. Dezember) als Ergänzung der Stellungnahme vom 20.11.2020 zum Diskussionsentwurf TKMoG1 (Stand 6. November)

eco VERBAND DER INTERNETWIRTSCHAFT E.V., 11.12.2020
Anmerkungen zum RefE TKMoG (Stand 9. Dezember) als Ergänzung der Stellungnahme vom 20.11.2020 zum Diskussionsentwurf TKMoG1 (Stand 6. November)

eco VERBAND DER INTERNETWIRTSCHAFT E.V., 03.12.2020
eco Stellungnahme zum RefE eines Gesetzes zur Änderung des Gesetzes über den Bundesnachrichtendienst zur Umsetzung der Vorgaben aus dem Urteil des Bundesverfassungsgerichts vom 19. Mai 2020 (1 BvR 2835/17)

eco VERBAND DER INTERNETWIRTSCHAFT E.V., 20.11.2020
Stellungnahme zum Diskussionsentwurf TKG-Modernisierungsgesetz des BMWi und BMVIvom 06.11.2020

datensicherheit.de, 16.12.2020
IT-SiG 2.0: VdTÜV begrüßt Ausweitung des Geltungsbereichs / VdTÜV mahnt aber Nachjustierungen beim IT-Sicherheitsgesetz 2.0 an

datensicherheit.de, 10.12.2020
IT-Sicherheitsgesetz 2.0: eco warnt vor vorschneller nationaler Regulierung / Der Verband der Internetwirtschaft (eco) befürchtet hohes Risiko für Unternehmen und private Nutzer

datensicherheit.de, 04.12.2020
BND-Gesetz: eco kritisiert aktuellen Entwurf / eco warnt vor massiver Ausweitung der Spionagemethoden

datensicherheit.de, 21.10.2020
Online-Durchsuchung kommt doch: eco warnt vor Schwächung des Vertrauens / eco bewertet Ausweitung der Mitwirkungs- und Zusammenarbeitspflichten hinsichtlich Datenschutz und IT-Sicherheitsanforderungen als kritisch