Tankred Schipanski (CDU) zur IT-Sicherheit Anbieter müssen „in die Pflicht genommen werden“

Die digitale Transformation von Staat und Wirtschaft ist eine Herausforderung, denn neben dem Übertragen analoger Prozesse ins Virtuelle müssen zusätzlich auch Datenschutz und -sicherheit mitbedacht werden. Der digitalpolitische Sprecher der CDU/CSU-Fraktion im Deutschen Bundestag Tankred Schipanski verlangt nach Aufklärung und Sensibilisierung – so sollte etwa der „Schutz von Mandanteninformationen gegen den Zugriff Dritter [...] selbstverständlich sein“.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Insider Research

Das Bundesamt für Sicherheit in der Informationstechnik schreibt in seinem Lagebericht 2018: „Die Gefährdungen sind im Berichtszeitraum im Vergleich zum vorangegangenen Berichtszeitraum vielfältiger geworden“ und hätten „zugenommen“. Gleichzeitig befänden „wir uns erst am Anfang einer Ära der Digitalisierung, die unseren Alltag und unsere Gesellschaft umfassend beeinflussen wird“. Das Amt stellt in Aussicht: „Ohne entsprechende Anstrengungen, das notwendige Maß an Informationssicherheit durch Prävention, Detektion und Reaktion zu gewährleisten, werden Staat, Wirtschaft und Gesellschaft in Deutschland zunehmend gefährdet.“

Security-Insider: Vor einem Jahr, zur Jahreswende 2019 tauchten Hunderte Personenprofile von Prominenten aus Politik und Medien im Netz auf. Wieviele davon stammen aus Ihrer Partei?

Tankred Schipanski: Betroffen von dem im Januar bekannt gewordenen Datenleak waren alle im Bundestag vertretenen Parteien, mit Ausnahme der AfD. Bei der Union waren nach Aussagen der Behörden 425 Politiker betroffen.

Security-Insider: Wie konnte das passieren?

Schipanski: Nach Auskunft der Sicherheitsbehörden hat der Täter Zugangsdaten u.a. zu privaten Postfächern, Cloud-Diensten und Sozialen Netzwerken gestohlen oder erraten. Beispielsweise nutzte er laut Bundeskriminalamt auch einen gekaperten Twitter-Account eines auf Youtube aktiven Künstlers. Neben ausgespähten Daten hat er auch Daten aus öffentlich zugänglichen Quellen gesammelt. Personenbezogene Daten Dritter auszuspähen, zusammenzutragen und zu veröffentlichen, wie hier geschehen, ist natürlich illegal. Positiv zu bemerken ist, dass unsere Sicherheitsbehörden gut zusammengearbeitet haben und schnell Ermittlungserfolge erzielen konnten. Ich könnte mir künftig aber eine stärkere Rolle des Bundes in der Cybersicherheit vorstellen, was die Koordinierung und Steuerung solcher Fälle betrifft.

Security-Insider: Was haben Ihre Partei und Sie persönlich seither unternommen, damit sich Ähnliches nicht wiederholt?

Schipanski: Mit dem Thema IT-Sicherheit beschäftigen wir uns in der Union ja nicht erst seit dem Vorfall im Januar. Vieles von dem, was wir uns in diesem Bereich im Koalitionsvertrag vorgenommen haben, befindet sich in der Umsetzung. Dazu zählt der Entwurf des IT-Sicherheitsgesetzes 2.0, mit dem der 2016 eingeführte Ordnungsrahmen weiterentwickelt und ausgebaut werden soll. Beispielsweise werden Hersteller und Anbieter von IT-Produkten, die neben den kritischen Infrastrukturen von besonderem nationalem Interesse sind, mehr in die Pflicht genommen, um den Schutz vor unsicherer IT zu erhöhen. Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) wird personell aufgestockt und ausgebaut, insbesondere die Beratungs- und Unterstützungsangebote für Bund und Länder, für Unternehmen und sowie für Bürger. Es kümmert sich künftig zusätzlich um das Thema Verbraucherschutz und fungiert als zentrale Zertifizierungs- und Standardisierungsstelle für IT- und Cyber-Sicherheit.

Die neue Agentur für Innovation in der Cybersicherheit wird aufgebaut. Sie soll ambitionierte Forschungs- und Innovationsvorhaben im Bereich der Cybersicherheit anstoßen, mit dem langfristigen Ziel Technologiesouveränität im Cyber- und Informationsraum zu erreichen.

Das Ausspähen persönlicher Daten ist ein Phänomen, das nicht nur Politiker und Prominente betrifft, sondern alle Bürgerinnen und Bürger. Dabei ist klar: Staatliche Maßnahmen zur IT-Sicherheit ersetzen nicht die Eigenverantwortung des Einzelnen. Es muss uns gelingen, dafür ein noch stärkeres Bewusstsein zu schaffen. Es gibt bereits einfache Schutzmaßnahmen, die jeder Nutzer – da schließe ich uns Politiker mit ein - treffen kann, z.B. das Verwenden starker Passwörter, der Zwei-Faktor Authentifizierung oder regelmäßig Software Updates durchzuführen. Auch hier kann man sich vom BSI beraten lassen.

Gegen den Stillstand in der IT-Sicherheit

Grüne fordern konkrete Maßnahmen und Kulturwandel

Security-Insider: Im Juni 2018 hat die Europäische Union das "Digital Transformation Scoreboard 2018" veröffentlicht. Demnach ist das digitale Bewusstsein in Deutschen Unternehmen unterdurchschnittlich ausgeprägt. Hiesige Firmen erhalten bei diesem Kriterium 20 von 100 Punkten (Seite 54). Der EU-Durchschnitt beträgt 30 Punkte. Unterschätzen Deutsche Unternehmen die Bedeutung der Digitalisierung?

Schipanski: Das ist mir zu pauschal. Richtig ist aber, dass es hier große Unterschiede zwischen den deutschen Unternehmen gibt. Viele kleine und mittlere Unternehmen haben volle Auftragsbücher und haben sich teilweise mangels Kapazität zu wenig darum gekümmert, in die Digitalisierung zu investieren und neue Geschäftsfelder zu erschließen. Häufig wird auch das Tempo des digitalen Wandels unterschätzt. Digitale Kompetenzen sind aber ein entscheidender Wettbewerbsfaktor, und zwar branchenübergreifend. Deshalb unterstützt der Bund kleine und mittlere Unternehmen bei der Digitalisierung, beispielsweise mit den Mittelstand 4.0-Kompetenzzentren in ganz Deutschland, die Expertenwissen, Demonstrationszentren, Netzwerke zum Erfahrungsaustausch, Veranstaltungen und praktische Beispiele anbieten. Aus meinem Thüringer Wahlkreis weiß ich, dass diese Angebote gut angenommen werden.

Security-Insider: Noch schlechter sieht es beim Bewusstsein bezüglich Cybersicherheit aus: Hiesige Firmen erhalten diesbezüglich 14 Punkte, im EU-Durchschnitt sind es 25 (Seite 56). Wie ist das zu erklären?

Schipanski: Dafür gibt es verschiedene Erklärungen. Digitales Bewusstsein und Bewusstsein für IT-Sicherheit mögen einander bedingen. Für kleine und mittlere Unternehmen kommt sicherlich hinzu, dass sie kleine finanzielle und personelle Ressourcen haben. Manche unterschätzen vielleicht auch die Gefahr, auch als kleiner Mittelständler in den Fokus der Wirtschaftsspionage zu geraten. Jedoch ist grade der Mittelstand als Innovationsmotor hier eine attraktive Zielscheibe. Mangelnde IT-Sicherheit kann geschäftsschädigend sein, auch durch einen Vertrauensverlust der Kunden. Daher ist es ein Muss für Unternehmen, entsprechende Maßnahmen zu ergreifen. Auch hier heißt es deshalb aufklären und sensibilisieren. Hilfestellung und Beratung erhalten Unternehmen ebenfalls beim BSI, das auch IT-Grundschutz-Zertifikate für IT-Dienstleister anbietet, so dass deren Produktqualität leichter bewertet werden kann. Außerdem unterstützt die Allianz für Cyber-Sicherheit.

Security-Insider: Ist es ein Vor- oder ein Nachteil, dass Deutsche Unternehmer nix mit der Digitalisierung anzufangen wissen, wenn es ihnen gleichzeitig am Bewusstsein für die Risiken mangelt?

Schipanski: Wie gesagt, ich würde hier keinesfalls alle Unternehmer über einen Kamm scheren. Aber natürlich klar im Vorteil, wer ein gesundes Risikobewusstsein hat und gleichzeitig die Chancen der Digitalisierung zu nutzen weiß. Dafür bieten wir von staatlicher Seite mannigfache Unterstützung.

Security-Insider: Ärzte, Rechtsanwälte, Steuerberater und einige weitere Berufsgruppen sind nach §203 Strafgesetzbuch (StGB) zur Verschwiegenheit verpflichtet. Glauben Sie, dass diese Berufsgruppen ein höheres Bewusstsein für die Cyberrisiken haben als Spitzenpolitiker und die von der EU befragten Unternehmer?

Schipanski: Wie sie ja richtig sagen sind diese Berufsgruppen gesetzlich zur Verschwiegenheit verpflichtet und wissen um die Sensibilität ihrer Daten. Es ist zudem in ihrem höchsteigenen Interesse, in IT-Sicherheit zu investieren und die Daten vor dem Zugriff Dritter zu schützen, denn das Vertrauen von Mandanten oder Patienten ist ein sehr hohes Gut. Nicht zuletzt kommen Cyberangriffe z.B. auf Krankenhäuser immer wieder vor, was zusätzlich sensibilisiert. Im Digitale-Versorgung-Gesetzesentwurf werden die Kassenärztlichen Bundesvereinigungen übrigens verpflichtet, bis März 2020 eine Richtlinie vorzulegen, die Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung festlegt. Investitionen in IT-Sicherheit und der Schutz von Mandanteninformationen gegen den Zugriff Dritter sollten daher selbstverständlich sein.

Security-Insider: Was bedeutet das für die Sicherheit ihrer Patienten und Mandanten?

Schipanski: Mit der im Mai 2018 in Kraft getretenen EU-Datenschutzgrundverordnung wurde das Grundrecht auf Schutz der personenbezogenen Daten gestärkt. Die Betroffenen erhalten mehr Kontrolle und Transparenz bei der Datenverarbeitung und ihre Rechte auf Information und Auskunft wurden erweitert. Davon können sie Gebrauch machen und sich im Zweifel an ihren Landesdatenschutzbeauftragten werden.

Security-Insider: Herr Putin ist der Meinung, wer die künstliche Intelligenz (kI) beherrscht, beherrscht die Welt. Hat er Recht?

Schipanski: Der Punkt ist: Die Frage ist nicht, ob es mit der Entwicklung von KI-Technologien weitergeht, sondern wie, und wer davon am meisten profitiert. Von Weltherrschaft möchte ich nicht sprechen. Aber wir erleben einen internationalen Wettlauf bei der Entwicklung von KI. Dabei zeichnen sich zurzeit zwei Wege ab, in China, wo innovative Technologien vom Staat für Überwachung und Kontrolle eingesetzt werden, und den USA, wo datenhungrige Tech-Unternehmen Monopolstellung entwickeln. Das ist nicht unser Weg. Wir wollen einen europäischen Weg, einen gemeinwohlorientierten Ansatz beim Einsatz von KI-Technologien, bei dem der Mensch im Mittelpunkt steht. Daran orientieren sich die KI-Strategie der Bundesregierung, die Datenethikkommission und die Enquete-Kommission des Bundestages. Natürlich können wir das nicht allein schaffen, sondern nur mit unseren europäischen Partnern gemeinsam.

Security-Insider: China will bis 2030 150 Milliarden US-Dollar in KI investieren und damit die USA vom KI-Thron stoßen. Europa will bis 2020 20 Milliarden in die KI pumpen und Deutschland will bis 2025 nochmals 3 Milliarden Euro zuschießen. Sind diese Bemühungen ausreichend?

Schipanski: Aus meiner Sicht als Forschungs- und Digitalpolitiker kann man gar nicht genug in Bildung und Forschung investieren. So richtig vergleichbar sind die Zahlen aber nicht, wir sprechen hier von unterschiedlichen Zeiträumen und unterschiedlichen Ländern. Was die in der KI-Strategie angekündigten drei Milliarden betrifft Euro betrifft, so hat die Bundesregierung gleichzeitig Gespräche mit den Ländern und der Wirtschaft angekündigt, um weitere Investitionen anzustoßen. Und Sie dürfen nicht vergessen, dass wir nicht bei null anfangen. Deutschland hat schon heute starke Forschungseinrichtungen im Bereich KI, z.B. das 1988 eingerichtete Deutsche Forschungszentrum für Künstliche Intelligenz. Unsere außeruniversitären Forschungseinrichtungen wie die Fraunhofer-Gesellschaft, die Max-Planck-Gesellschaft und die Helmholtz-Gemeinschaft leisten exzellente Beiträge, an 20 Universitäten kann man KI als Schwerpunkt im Informatik-Studium wählen. Wenn wir aber international führend sein wollen bei der Erforschung von KI, wie es unser Anspruch ist, dann müssen wir noch einen Gang höher schalten und brauchen eine nationale wie europäische Kraftanstrengung

Security-Insider: Was bedeutet das für die Datensicherheit der von der EU befragten Unternehmer und die zur Verschwiegenheit verpflichteten Freiberufler?

Schipanski: Fragen der Datensicherheit stellen sich ja heute bereits. Zudem haben Bedrohungen im Cyber-Raum eine hohe Dynamik. Umso wichtiger ist es, dass IT-Sicherheitssysteme kontinuierlich auf dem neuesten Stand gehalten werden. KI-basierte Lösungen können übrigens auch dazu beitragen, sensible Daten und Systeme besser zu schützen, beispielsweise indem Unternehmen sie bei der Suche nach Datenlecks einsetzen und Hacker-Angriffen so schneller auf die Spur kommen. Auch diese Möglichkeiten sollten erörtert und ggf. genutzt werden.

Security-Insider: Halten Sie es für möglich, KI-gestützt Personenprofile von Millionen Menschen auf Basis von hunderttausenden Datenbanken der Freien Berufe, Unternehmen und Behörden zu bilden?

Schipanski: Rein technisch ist das sicherlich möglich. Was machbar ist, ist aber natürlich nicht automatisch auch erlaubt. Der Einsatz von Algorithmen und Künstlicher Intelligenz sowie der Umgang mit Daten bergen große Potenziale. Gleichzeitig stellen sich ethische und rechtliche Fragen. Antworten darauf soll die Datenethikkommission der Bundesregierung geben. Auf der Basis wissenschaftlicher und technischer Expertise soll sie ethische Leitlinien entwickeln. Im Herbst 2019 wird sie ihre Handlungsempfehlungen geben und Regulierungsmöglichkeiten vorschlagen.

Security-Insider: Welche Bedrohung wäre damit für den Betroffenen, seinen Arbeitgeber und das Land verbunden?

Schipanski: Ich möchte nicht über Worst Case Szenarien spekulieren. Richtig ist wie gesagt, dass innovative Technologien wie Künstliche Intelligenz Chancen, aber auch Risiken bedeuten. Deutschland ist gut aufgestellt in der Forschung zu Cybersicherheit. Die neue Agentur für Cybersicherheit wird hier nochmal einen weiteren Schub geben. Wir können und müssen aber noch besser werden in der Umsetzung in erfolgreiche Sicherheitsprodukte, hin zu mehr technologischer Souveränität.

Security-Insider: China will schlechtes Benehmen "unzivilisierter" Touristen in der Öffentlichkeit per Gesichtserkennung verfolgen. Es wirkt, als ob China Alles tut, was technisch möglich ist, wenn es den Mächtigen nützlich scheint. Glauben Sie, dass China seine technischen Möglichkeiten am Ende der 'Neuen Seidenstraße' genauso konsequent einsetzt wie in der Heimat?

Schipanski: Das kann ich weder bejahen, noch ausschließen. Klar ist, dass wir in Deutschland und Europa einen gemeinwohlorientierten Ansatz beim Einsatz von KI-Technologien verfolgen, bei dem der Mensch im Mittelpunkt steht. Diese Werte und Interessen vertreten wir. Ich denke, die internationale Diskussion rund um den Einsatz von Huawei Produkten beim 5G-Ausbau hat alle Seiten auch nochmal sensibilisiert.

Security-Insider: Die SPD-Bundestagsfraktion verlangt nach einem „digitalen Immunsystem“, um das Land, seine Institutionen und Bürger zu schützen. Welches Konzept schlagen Sie vor?

Schipanski: Wie zu Beginn gesagt, verfolgen wir hier Ansätze auf mehreren Ebenen, vieles befindet sich bereits in der Umsetzung. Dazu zählt der Entwurf des IT-Sicherheitsgesetzes 2.0, mit dem der 2016 eingeführte Ordnungsrahmen weiterentwickelt wird. Die Maßnahmen für mehr IT-Sicherheit betreffen die Wirtschaft, Staat und Gesellschaft. Das BSI wird gestärkt und personell aufgestockt, erweitert werden insbesondere die Beratungs- und Unterstützungsangebote für Bund und Länder, für Unternehmen und sowie für Bürger. Alle müssen hier zusammenwirken. Wichtig ist u.a. dass Hersteller und Anbieter von IT-Produkten mehr in die Pflicht genommen werden, um den Schutz vor unsicherer IT zu erhöhen. Ambitionierte Forschung im Bereich der Cybersicherheit wird noch stärker unterstützt.

Und ein ganz wichtiger Punkt ist mehr Sensibilisierung und Unterstützung für Bürgerinnen und Bürger, damit sie wissen, welche Maßnahmen sie selbst treffen können, um für mehr IT-Sicherheit zu sorgen. Auch hier ist das BSI ein wichtiger Ansprechpartner.

Saskia Esken (SPD) zum digitalen Immunsystem

Digitale Transformation verlangt kollektiven Dauerlauf

Security-Insider: Wer hat jetzt was zu tun?

Schipanski: Jeder ist gefragt, seinen möglichen Beitrag zu mehr IT-Sicherheit zu leisten: Staat, Wirtschaft und Bürgerinnen und Bürger. Und was die Digitalisierung insgesamt betrifft: Hier hat die Bundesregierung eine umfassende Umsetzungsstrategie vorgelegt. Die darin enthaltenen Maßnahmen der einzelnen Ressorts müssen nun natürlich auch konsequent umgesetzt werden. Diesen Prozess begleiten wir von parlamentarischer Seite konstruktiv im Ausschuss Digitale Agenda. Außerdem sind die noch ausstehenden Empfehlungen der Enquete Kommissionen im Bundestag, der Datenethikkommision und der Kommission Wettbewerbsrecht 4.0 sowie auch die europäischen Projekte einzubeziehen.

(ID:46320021)