Anzeige

Paragraph

IT-Systeme in kritischen Infrastrukturen (KRITIS) sind nicht vor Cyberangriffen gefeit. Wie aus dem „Lagebericht der IT-Sicherheit in Deutschland 2020“ hervorgeht, stieg allein die Anzahl der Hackerattacken im Gesundheitsbereich mit Fokus auf Krankenhäuser von 11 Attacken in 2018 auf 43 Attacken in 2020.

Auch Angriffe im Energiesektor nahmen deutlich zu: In den vergangenen drei Jahren stieg die Anzahl der Angriffe von vier auf 26. Insgesamt mehr als 400 meldepflichtige IT-Sicherheitsvorfälle bei KRITIS-Betreibern wurden 2020 angezeigt – ein Anstieg von über 60 Prozent im Vergleich zum Vorjahr.

Die Bundesregierung hat erkannt, dass KRITIS-Betreiber Nachholbedarf haben und in der Folge das IT-Sicherheitsgesetz angepasst werden muss. „In der KRITIS fehlt es derzeit am Wesentlichen: Betreiber setzen auf alte Geräte, die zum Teil keine Updates mehr erhalten, eine fehlende Routine macht insbesondere multiple Angriffe erfolgreicher und Mitarbeiter werden nicht oder unzureichend geschult“, so Patrycja Schrenk, Geschäftsführerin der PSW GROUP, zu den hohen Zahlen. Verständlich, wenn hier nachgerüstet werden muss.

Doch obwohl noch im Entwurf, ist jetzt schon klar, dass das IT-Sicherheitsgesetz 2.0 sowohl Hersteller als auch Betreiber künftig verstärkt in die Pflicht nehmen wird. Der aktuell dritte Entwurf sorgt vor allem angesichts der Verhältnismäßigkeit diverser Passus für reichlich Diskussionsspielraum und erregt auch den Unmut der IT-Sicherheitsexperten der PSW GROUP: „Zum einen ignoriert das für das Gesetz zuständige Bundesministerium des Inneren offenbar Vorschläge von UP KRITIS, einer extra ins Leben gerufenen öffentlich-privaten Kooperation zwischen verschiedenen KRITIS-Betreibern, Verbänden und staatlichen Stellen, zur Neuauflage des IT-Sicherheitsgesetzes. Das ist ärgerlich und wenig zielführend. Vor allem aber sehe ich einige neue Sonderrechte des BSI als strittig und es fehlt mir insgesamt an Transparenz und Nachvollziehbarkeit von Bestimmungen“, kritisiert Schrenk.

So erhält das BSI mit dem IT-Sicherheitsgesetz 2.0 neue Befugnisse: Es darf hacken und muss Sicherheitslücken nicht zwangsläufig veröffentlichen. Um Betroffene von Sicherheitslücken oder –vorfällen zu benachrichtigen, bekommt das BSI darüber hinaus das Recht, Bestandsdaten wie Name oder Adresse bei Telekommunikationsanbietern abzufragen. Zudem darf die Behörde Informationen über ihr bekannte Sicherheitslücken oder Schadprogramme zurückhalten, wenn damit eine Weiterverbreitung oder rechtswidrige Ausnutzung verhindert werden kann oder weil sie gegenüber Dritten zur Vertraulichkeit verpflichtet ist. „Diesen Passus erachte ich als extrem strittig. Denn so können Geheimdienste und die Polizei Zero-Day-Exploits weiter für eigene Zwecke nutzen“, kritisiert Schrenk.

Weiter ermächtigt das IT-Sicherheitsgesetz 2.0 das BSI, freiwillige IT-Sicherheitskennzeichen einzuführen. Ein solches Kennzeichen besteht aus der Zusicherung eines Herstellers oder Diensteanbieters, dass sein Produkt bestimmte IT-Sicherheitsanforderungen erfüllt sowie aus einer Information des Bundesamtes über sicherheitsrelevante IT-Eigenschaften des Produktes. „Ein solches freiwilliges IT-Sicherheitskennzeichen klingt zunächst nicht schlecht. Es ist aber ein nationaler Alleingang, der die Wirksamkeit europäischer Bestimmungen beschädigen könnte. Neben einem erhöhten Aufwand für Unternehmen ist auch Verbrauchern nur bedingt geholfen, wenn eine immer größer werdende Zahl an Gütesiegeln eher Verwirrung stiftet“, meint Patrycja Schrenk.

Geplant ist zudem eine 12-monatige Speicherzeit für Protokolldaten: Kommunizieren Bürger und Verwaltungseinrichtungen oder Parlamentarier online miteinander, können vom BSI anfallende Protokolldaten inklusive persönlicher Nutzerinformationen wie IP-Adresse zwölf Monate lang gespeichert und ausgewertet werden. So darf das BSI interne Protokollierungsdaten aus allen Behörden als Aufzeichnung über die Art der IT-Nutzung zur Gefahrenabwehr für die bundesinterne Kommunikationstechnik verarbeiten. Trojaner wie Emotet oder komplexe Angriffe sollen so besser erkannt werden.

„Für den aktuellen Entwurf des IT-Sicherheitsgesetzes hätte ich mir eine bessere Evaluation des 2015 verabschiedeten Ursprungsgesetzes gewünscht. Zudem erinnern die Bußgeldregelungen stark an die der DSGVO. Eigene Überlegungen wären hier besser gewesen. Denn die DSGVO soll das Recht auf informationelle Selbstbestimmung des Bürgers sowie dessen Datenschutz stärken, das IT-Sicherheitsgesetz 2.0 die IT-Sicherheit der KRITIS-Betreiber. Beides mit demselben Maß zu bemessen, halte ich für unüberlegt“, kritisiert die IT-Sicherheitsexpertin.

Weitere Informationen finden Sie hier.

www.psw-group.de
 


Artikel zu diesem Thema

Corona-Impfstoff
Jan 28, 2021

Cyberangriffe im Gesundheitswesen wegen Corona-Impfstoff um 51 % gestiegen

Im Dezember letzten Jahres haben die Cybersecurity-Spezialisten von Imperva einen Anstieg…
Selbsttest
Jan 25, 2021

Selbsttest: Wie sicher ist Ihre kritische Infrastruktur?

Neben der Sicherheit auf der informationstechnischen Ebene unterschätzen viele…
KRITIS
Apr 03, 2020

IT-Schutz für kritische Infrastruktur dringend notwendig

Cyber-Security-Experte Avi Kravitz warnt vor zu lockerem Umgang mit IT-Security und…

Weitere Artikel

Cybersicherheit

Nach der Bundestagswahl – „Die Verantwortung für Cyber-Sicherheit verbleibt auch nach der Wahl bei den Unternehmen”

CyberDirekt – eine digitale Vertriebsplattform für Cyber-Versicherungen – hat anlässlich der bevorstehenden Bundestagswahl am 26. September in einer aktuellen Untersuchung die Inhalte der Wahlprogramm der großen Parteien – CDU/CSU, SPD, Bündnis90/Die Grünen,…
Cyberwar

Neue Cybersicherheitsstrategie: Gemischte Gefühle in der IT-Sicherheit

Am Mittwoch hat das Bundeskabinett den Vorschlag des Innenministeriums für eine neue deutsche Cybersicherheitsstrategie verabschiedet. Dieser stieß – naturgemäß – im politischen Raum auf ein geteiltes Echo.
Cybersicherheit

VOICE fordert stärkere Haftung der Softwarehersteller und Cloudprovider

VOICE – Bundesverband der IT-Anwender begrüßt die Weiterentwicklung der Cybersicherheitsstrategie (CSS) der Bundesregierung. VOICE fordert aber die Konkretisierung der strategischen Ziele in Bezug auf die Verpflichtung der Software- und…
Cybersicherheit

Praxisnahes Lernen – IT-Sicherheit in der Industrie 4.0

Die digitale Transformation bringt für produzierende Unternehmen eine Vielzahl an Chancen mit sich. Doch mit der Vernetzung steigt auch das Risiko für Cyberangriffe. Ein ganzheitliches Sicherheitskonzept nach IEC 62443 zur Absicherung der Produktion…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.