Sicherheitsanforderungen bei 5G Bitkom fordert Rechtssicherheit für 5G-Netzausrüster

Der digitale Branchenverband Bitkom involviert sich stark in den Ausbau der 5G-Netzstrukturen in Deutschland. Im Rahmen der Aktualisierungen der Richtlinien und Sicherheitsanforderungen, die von der Bundesnetzagentur an Netzbetreiber gestellt werden, hat der Bitkom nun gefordert, dass eine eindeutige Rechtsgrundlage für jegliche Sicherheitsaspekte vorgelegt wird.

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Der 5G-Ausbau in Deutschland ist ein langwieriger Prozess, der im Rahmen der Diskussionen um die Sicherheit große Schwierigkeiten für alle Beteiligten mitgebracht hat. Da für die Zukunft von 5G eine umfassende, flächendeckende Verwendung in allen privaten und wirtschaftlichen Sektoren angedacht ist, sind die Themen von Datenschutz und Datensicherheit von allergrößter Wichtigkeit.

Für die Regulierung derartiger Netzinfrastrukturen in Deutschland ist die Bundesnetzagentur verantwortlich. Die Behörde ist daher seit Beginn der Debatte um den 5G-Ausbau die Stelle, von der jegliche Möglichkeiten und Richtlinien abhängen, die Netzbetreiber betreffen.

Vor dem Hintergrund der Sicherheitsbedenken rund um 5G, wie etwa dem Huawei-Debakel, ist die Netzagentur zu besonderer Vorsicht angehalten. Die Anforderungen stehen im Dienst des Schutzes gegen Störungen, der Beherrschung von Risiken für die Sicherheit und insbesondere der Verhinderung von unerlaubten Zugriffen von außen.

Im Oktober 2019 hat die Bundesnetzagentur einen Entwurf der Neufassung des Kataloges von Sicherheitsanforderungen veröffentlicht. Das vollständige Dokument ist hier einzusehen. Die drei hauptsächlichen Aspekte der Aktualisierungen sind der Schutz des Fernmeldegeheimnisses, der Schutz personenbezogener Daten und die Sicherstellung der Verfügbarkeit von Netzen und Diensten.

Daraufhin konnten Branchenteilnehmer – also alle Player, die am Ausbau beteiligt oder davon betroffen sind – ihre Stellungnahme bis zum 22. November einreichen. Dies nahm der Bitkom, der äußerst bemüht um die Sicherheit zukünftiger Telekommunikationsnetze ist, zum Anlass, Probleme mit der aktuellen Fassung darzulegen, die im weiteren Verlauf zu Schwierigkeiten führen könnten.

Neuer Standard – neue Probleme

Sicherheitsrisiken von 5G-Netzwerken

Rechtsgrundlage für 5G-Ausstatter gefordert

Das Whitepaper sieht vor, dass Netzbetreiber und Netzausrüster den Sicherheitsanforderungen alle gleichermaßen verbindlich nachkommen müssen. Dieser Aspekt wurde vom Bitkom positiv angenommen, da nur mit einheitlichen Kriterien ein schneller Ausbau möglich wäre.

Doch eine weitere Pflicht, die den ausbauenden (also privatwirtschaftlichen) Instanzen zukommt, ist laut des Verbandes ein Stein des Anstoßes. Jeder Netzbetreiber ist dazu verpflichtet, Hersteller und Lieferanten von Einzelkomponenten der Infrastruktur auf ihre Vertrauenswürdigkeit zu bewerten und technische Überprüfungen bezüglich der Sicherheit der Geräte anzustellen.

In Punkt 3 zur Vertrauenswürdigkeit von Herstellern und Lieferanten schreibt die Bundesnetzagentur:

„Betreiber öffentlicher Telekommunikationsnetze und Erbringer öffentlich zugänglicher Telekommunikationsdienste mit erhöhter Kritikalität sind vor diesem Hintergrund gehalten, insbesondere Hersteller und Verkäufer bzw. Lieferanten von kritischen Komponenten vor Bezug angemessen auszuwählen. Bestandteil einer angemessenen Auswahl ist auch eine geeignete Untersuchung der Vertrauenswürdigkeit der Bezugsquelle. Das verpflichtete Unternehmen hat zum Nachweis der Vertrauenswürdigkeit der Bezugsquelle von dieser eine umfassende Erklärung einzuholen.“ (Katalog von Sicherheitsanforderungen 2.0, Seite 54)

Somit läge die gesamte Kompetenz bezüglich der Evaluierung der Vertrauenswürdigkeit potentieller Vertragspartner in der Hand der agierenden Unternehmen.

Der Bitkom fordert, dass diese Aufgabe nicht den einzelnen Ausrüstern zukommen dürfte, sondern direkt durch staatliche, konkrete Regularien bestimmt wird. Somit wären die Marktteilnehmer nicht in der Rolle, eigene Entscheidungen aufgrund nicht vollständig klarer Richtlinien treffen zu müssen.

Stattdessen hätten sie gesetzliche Entscheidungsgrundlagen, die in diesen Fällen die Basis für die Verantwortung übernimmt. Sowohl technische Überprüfung einzelner Komponenten und Infrastrukturelemente, als auch eine objektive Bewertung der Vertrauenswürdigkeit einzelner Hersteller solle somit Sache der Regierung werden.

Da der Ausbau des Netzes eine teure und aufwendige Angelegenheit ist, dürften die Akteure keinerlei Risiko tragen, das durch unklare Regeln entsteht. Da die Sicherheit öffentlicher Mobilfunknetze ein Thema der Politik ist, müsse sie dieses auch selbst übernehmen, anstatt es auf die Industrie auszulagern.

Elemente für 5G-Cybersicherheit

5G: Sicherheits­verantwortliche müssen handeln

Umsetzung noch unklar

Die Forderungen des Bitkom in diesem Rahmen klingen logisch und nachvollziehbar, sowohl auf politischer als auch wirtschaftlicher Ebene. Doch ob die Bundesnetzagentur auch auf diese reagieren wird – und wenn ja, in welchem Umfang – bleibt noch abzusehen.

Die letzten Stimmen aus der Regierung klangen nämlich eher gegensätzlich – so, dass sämtliche Bestrebungen bezüglich der Höchstbewertung der Sicherheit sogar kompromittiert werden könnten. Das geht aus den Aussagen der deutschen Justizminister der Länder hervor, die bereits im Juni 2019 laut wurden.

Diese wünschten sich nämlich, stellvertretend für die Strafverfolgung in Deutschland, dass für die Polizei oder auch Geheimdienste spezielle Hintertürchen offenbleiben sollten. Durch die vermehrte Verwendung von Ende-zu-Ende-Verschlüsselung und weiterer Sicherheitsaspekte wie Network Slicing und IMSI-Verschlüsselung, die nativ in 5G implementiert werden, wäre die Überwachung nämlich auch für Strafverfolger immer schwieriger.

Daher scheint es unwahrscheinlich, dass die Anregungen des Bitkom in ihrer Vollständigkeit von der Politik akzeptiert werden. Doch so lange der Sicherheit des 5G-Netzes unangefochten die höchste Priorität zukommt, bleibt die Möglichkeit, dass die Bundesnetzagentur keine Kompromisse eingeht.

Die Relevanz der Anforderungen

Die ausführliche Stellungnahme des Bitkom zum Entwurf der Behörde kann ein wichtiger Meilenstein im Fortschritt des umfassenden 5G-Ausbaus in Deutschland werden. Viele der im Katalog bereits vorgeschlagenen Maßnahmen, als auch die Anregungen des Bitkom sind äußerst relevant, wenn eine sichere aber gleichzeitig wirtschaftliche Erschließung der Infrastruktur ermöglicht werden soll.

• Fremde Staaten, die über manipulierte Komponenten versuchen könnten, Zugang auf die international implementierten 5G-Netze zu erhalten, gelten aktuell als größter Bedrohungsfaktor. Der Fall Huawei hat darauf aufmerksam gemacht, dass ausländische Hersteller oder Lieferanten von den jeweiligen Regierungen dazu genutzt werden könnten, Backdoors oder Schadmöglichkeiten in die Infrastruktur zu schmuggeln. Auch vor dem Hintergrund des großen Interesses der Wirtschaft 4.0 an 5G bestehen Potentiale zur Industriespionage.

• Auch im Hinblick auf volkswirtschaftliche Interessen steht der Gesetzgeber in der Aufgabe, den Rechtsahmen klar auszugestalten. Wenn gesetzlich geregelt ist, dass alle umgesetzten Netze das gleiche Höchstmaß an Sicherheit vorweisen und wie dies realisiert werden muss, stehen dem Fortschritt durch Wettbewerb in der Folge weniger Hindernisse im Weg.

• Eine einwandfreie Rechtssicherheit für Investoren hätte zwei positive Effekte auf die Implementierung von 5G insgesamt: Auf der einen Seite sind die ausbauenden Unternehmen rechtlich abgesichert und können somit in einem klar abgesteckten Rahmen arbeiten. Außerdem hilft die staatliche Konkretisierung der Anforderungen bei der Standardisierung, was den Konkurrenzgedanken und den Aspekt der Sicherheit vollständig voneinander trennt.

Des Weiteren ist die Zeit ein großer Faktor. Das bisher noch viel genutzte 3G-Netz wird ab 2020 nach und nach abgeschaltet, wodurch für viele Endkunden ein flächendeckender Ausbau der 5G-Technologie immer wichtiger wird. Auch im Interesse der Gesamtwirtschaft sollten Lösungen schnellstmöglich gefunden werden.

Wenn Deutschland bei 5G eine Vorreiterstellung erhalten beziehungsweise bewahren möchte, ist es wichtig, dass die langfristig gültigen Sicherheitsanforderungen so bald wie möglich feststehen, damit Marktteilnehmer entsprechend planen können.

Weitere Forderungen des Bitkom

Zusätzlich zu den Kommentaren um die Rechtssicherheit, denen auch in Pressemitteilungen besonderer Ausdruck verliehen wurde, hat der Bitkom natürlich auch weitere Anregungen gebracht:

• Europaweite statt individuelle Regelung: Die umfassende Sicherheitsarchitektur, die von der Bundesnetzagentur für Deutschland geplant wird, ist eine gute Grundlage. Doch optimal wäre es, wenn die Richtlinien auf europaweiter Ebene umgesetzt würden. Das kann zu einer größeren Effizienz führen und wirtschaftliche Vorteile für den europäischen Binnenmarkt bringen.

• Auch die Hersteller sollten enger in den Prozess der Sicherheitsbestimmung involviert werden. Politik, Netzbetreiber und Hersteller der Hardware sollen alle eine Rolle bei der Fokussierung auf Sicherheit spielen, anstatt diese nur den Netzbetreibern zukommen zu lassen.

• Präzisere Festlegung kritischer Kernkomponenten. Im bisher realisierten Katalog, der mit der BSI erarbeitet wurde, sind häufig noch übergreifende Bezeichnungen anstatt präziser Typen verwendet. Außerdem ist der Begriff „kritischer Komponenten“ noch nicht exakt genug definiert.

(ID:46314804)