Verantwortlichkeit für IT-Sicherheit Unternehmen und das IT-Sicherheitsgesetz

Cyberattacken und Hackerangriffe gehören mittlerweile zum Alltag vieler Unternehmen. Sind durch solche Angriffe aber Telekommunikationsunternehmen oder Betreiber von kritischen Infrastrukturen betroffen, bekommt eine einfache Cyber-Attacke schnell eine große Dimension. Das IT-Sicherheitsgesetz soll Transparenz bei Fällen von Cyberkriminalität schaffen und dabei helfen die IT-Sicherheit bei Unternehmen und Verwaltung zu verbessern.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Die IT-Sicherheit innerhalb eines Unternehmens spielt eine bedeutende Rolle, sei es in Bezug auf datenschutzrechtliche Aspekte beim Umgang mit Mitarbeiterdaten oder auch auf das Abwehren von äußeren Bedrohungen.

Die Bedrohung durch Cyberkriminalität in Form von Wirtschaftsspionage oder Datendiebstahl wächst weiter, da sich technisch bedingt immer neue Einfallstore für Hacker eröffnen und die Kosten für Sicherheitssysteme oft hoch sind. Die Palette an gesetzeswidrigen Handlungen reicht dabei von Datenmissbrauch bis zu Urheberrechtsverletzungen. Oft werden mithilfe von Schadsoftware oder durch beziehungsweise Manipulationen von Computersystemen sensible personenbezogene oder unternehmensinterne Daten gestohlen oder ganze EDV-Systeme lahmgelegt.

Unternehmen und Gesetze zur IT-Sicherheit

NIS-Richtlinie, IT-Sicherheitsgesetz und die Folgen

Im Juli 2015 verabschiedete die Bundesregierung das „Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“, kurz das IT-Sicherheitsgesetz (IT-SiG). Dieses soll dazu beitragen, die IT-Systeme und digitalen Infrastrukturen innerhalb Deutschlands sicherer zu machen. Neben dem erhöhten Schutz der Bürger im Internet ist die Verbesserung der IT-Sicherheit innerhalb der Bundesverwaltung und bei Unternehmen eine der Prämissen des Gesetzes. Dazu gehören auch Betreiber von kommerziellen Webangeboten sowie Telekommunikationsunternehmen.

In der Vergangenheit wurden einige Fälle bekannt, in denen solche Unternehmen Opfer von Hackerangriffen wurden, ohne, dass dies vorerst der Öffentlichkeit bekannt gegeben wurde. Kunden dieser Telekommunikationsanbieter erfuhren erst spät, dass auch ihre personenbezogenen Daten von diesen Eingriffen betroffen waren. Mit dem IT-Sicherheitsgesetz sind sie nun zum einen verpflichtet, jeden Akt von Cyberkriminalität innerhalb ihrer Computersysteme dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden und zum anderen, eine Warnung an ihre Kunden auszusprechen. Zusätzlich sollen sie, sofern möglich, der Bundesnetzagentur als zuständiger Behörde Lösungsvorschläge unterbreiten.

Insbesondere der Schutz Kritischer Infrastrukturen soll gewährleistet werden

Das IT-Sicherheitsgesetz beinhaltet ebenso Vorgaben im Bereich der Kritischen Infrastrukturen (KRITIS). Diese sind Einrichtungen, die als Versorgungssysteme eine wichtige Bedeutung für das staatliche und gesellschaftliche Gemeinwesen haben. Bei Ausfällen oder Beeinträchtigungen dieser Bereiche drohen Versorgungsengpässe oder Störungen der öffentlichen Sicherheit. Deshalb stellt die IT-Sicherheit und Verfügbarkeit dieser Versorgungsdienstleitungen einen wichtigen Aspekt des Gesetzes dar. Es verpflichtet Betreiber Kritischer Infrastrukturen dazu, „[…] angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind“ (§ 8a Abs. 1 BSIG). Die Verantwortung für eine sichere Funktionalität der Computersysteme, die für die Dienstleistungsversorgung unumgänglich sind, liegt also bei den Betreibern, die zusätzlich alle zwei Jahre die getroffenen organisatorischen und technischen Maßnahmen nachweisen müssen. Erarbeitete Sicherheitsstandards müssen mit dem BSI auf Antrag abgestimmt werden; dieses legt fest, ob die Pläne geeignet sind.

Die BSI-Kritisverordnung ist in die nächste Runde gegangen

Vom ersten Teil der Kritisverordnung, der am 3. Mai 2016 in Kraft getreten ist, waren Unternehmen aus den Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation tangiert. Am 30. Juni 2017 trat der zweite Teil beziehungsweise eine Änderung der Verordnung in Kraft. Nun gehören zu den betroffenen Sektoren auch das Finanz- und Versicherungswesen, das Gesundheitswesen sowie das Transport- und Verkehrswesen. Insgesamt umfasst die Verordnung 918 kritische Infrastrukturen, deren Betreiber verpflichtet sind, dem BSI innerhalb von sechs Monaten eine zentrale Kontaktstelle zu benennen, technische sowie organisatorische Standards zu entwickeln und umzusetzen und diese alle zwei Jahre nachzuweisen. Des Weiteren sind sie angehalten, IT-Störungen und Ausfälle, beispielsweise durch Hackerangriffe, unverzüglich dem BSI zu melden.

KRITIS: B3S Wasser/Abwasser

Erster branchenspezifischer Sicherheitsstandard für einen KRITIS-Sektor

Geheimhaltung von Cyberangriffen soll verhindert werden

Die BSI-Kritisverordnung soll dazu beitragen, dass Cyberangriffe auf Institutionen und Unternehmen öffentlich gemacht werden. Da von derartigen Attacken ebenfalls meist personenbezogene Daten der Unternehmenskunden betroffen sind, ist es essenziell, dass diese auch vom Missbrauch ihrer Daten erfahren. Mitte Dezember 2016 machte beispielsweise der Internetkonzern Yahoo öffentlich, dass er Opfer des bisher größten bekannten Hackerangriffs in diesem Bereich geworden ist. Die Attacke, bei der mehr als eine Milliarde Konten mit persönlichen Daten gehackt wurden, hatte sich allerdings bereits im August 2013 zugetragen. Eine solche Geheimhaltung von Cyberattacken soll künftig unterbunden werden. Um die angestrebten Standards in der IT-Sicherheit umsetzen zu können, sind allerdings technische Voraussetzungen nötig, die vielen Unternehmen noch fehlen. Einige kleine und mittlere Unternehmen erwarten hohe Kosten, um geeignete technische Maßnahmen durchführen zu können. Andere, beispielsweise in der Gesundheitsbranche, verfügen über veraltete und unstrukturierte Digitalisierungsangebote, die für Schritte in Richtung mehr IT-Sicherheit unzureichend sind. Telekommunikationsanbieter sind verpflichtet, zur Strafverfolgung notwendige Daten (wie IP-Adressen) herauszugeben, wurden strafbare Handlungen über ihre Dienste vollzogen. Allein technische Maßnahmen reichen aber nicht aus zur Vermeidung von Haftungsfragen und Schadensersatz. Hierfür sind insbesondere organisatorische Vorkehrungen von Nöten, wie Nutzungsrichtlinien und Schulungen der Mitarbeiter.

Die Meldung von Cyberangriffen auf informationstechnische Systeme hilft auch anderen Unternehmen, geeignete Schutzvorkehrungen zu treffen. Allerdings gibt es einen Kritikpunkt an dem IT-Sicherheitsgesetz: Regierungsnetzwerke sind explizit von diesem ausgeschlossen. Zum einen erweckt das den Eindruck, diese gehörten nicht zur kritischen Infrastruktur in Deutschland. Zum anderen wird der Regierung dadurch die Verantwortung genommen, die Gesellschaft über potentielle Sicherheitslücken in Computersystemen (beispielsweise in der Verwaltung) zu informieren und bereits geschehene Angriffe auf diese Systeme zu melden. Umfassende Transparenz, wie sie von Unternehmen gefordert wird, fehlt an dieser Stelle.

Über die Autorin: Katarina Heidrich hat an der Europa-Universität Viadrina in Frankfurt (Oder) Kulturwissenschaften mit den Schwerpunkten Kulturgeschichte und Literaturwissenschaften studiert. Sie lebt und arbeitet in Berlin als redaktionelle Volontärin und schreibt für den Berufsverband der Rechtsjournalisten e.V.

Kritische Infrastrukturen

KRITIS – von der Pflicht zum Wettbewerbsvorteil

Meldepflicht bei IT-Sicherheitsvorfällen

KRITIS in öffentlichen Verwaltungen

(ID:44901862)