IT-Sicherheitsgesetz und KRITIS Datacenter-Branche sieht viel Nachbesserungsbedarf

Das IT-Sicherheitsgesetz sorgt wieder einmal für Diskussionsstoff. Inzwischen liegen Stellungnahmen zahlreicher einschlägiger Branchenverbände zum Dezember-Entwurf des IT-Sicherheitsgesetzes 2.0 vor. Fazit: Mit vielen Details ist die Branche unzufrieden.

Anbieter zum Thema

Rosenberger-OSI GmbH & Co. OHG

Fujitsu Technology Solutions GmbH

FNT GmbH

TÜV Rheinland Cert GmbH

Bundesamt für Sicherheit i.d.Informationstechnik

mehr weniger

Bitkom e.V.

weniger

Im Frühjahr 2020 sickerte der erste Entwurf eines IT-Sicherheitsgesetzes 2.0 durch und wurde beispielsweise vom Verband der Internetwirtschaft, Eco ,heftig kritisiert. Am 1. Dezember folgte eine weitere Version, die den Verbänden zur Kommentierung zugesandt wurde. Und hieran knüpft sich großer Ärger, der von den meisten Verbänden geteilt wird:

Die Frist zur Kommentierung war mit acht Tagen viel zu kurz, um sich mit dem Papier mit dreistelliger Seitenzahl in der gebotenen Intensität auseinanderzusetzen. Das spiegele nicht die Bedeutung des Vorhabens wieder und sei deshalb unangemessen, heißt es in vielen Stellungnahmen.

Log-Daten-Berge ohne Sinn und Zweck

Auch in der Sache haben gerade die Mitglieder der AG Kritis sowie einschlägige Branchenverbände viele Einwände. Die AG Kritis ist eine von Staat und Wirtschaft unabhängige Vereinigung mit dem Ziel, die Versorgungssicherheit der Bevölkerung zu erhöhen. Ihr gehören in erster Linie Praktiker von Betreibern Kritis-pflichtiger Anlagen an. Das Votum dieses Gremiums ist also besonders ernst zu nehmen.

^{Definition KRITIS vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK)}

Besonders gewettert wird in der AG-Kritis-Stellungnahme dagegen, dass die Betreiber alle Logdateien anonymisiert vier Jahre lang aufbewahren sollen.(§8a, Abs. 1 BSIG-E). Dazu schreibt die AG Kritis: „Eine Anonymisierung von Log-Dateien in Verbindung mit gleichzeitiger Umsetzung eines ISMS (Informationssicherheits-Management-Systems) ist technisch ohne Duplizierung von Daten unmöglich.“

Da schon an einem Tag in entsprechenden Rechenzentren Terabytes Log-Daten anfallen könnten, würde eine Aufbewahrungspflicht über vier Jahre zu wahren Datenbergen führen, deren rechtskonforme Speicherung wiederum erhebliche Kosten verursacht. Eine Entlastungsregelung für die Unternehmen fehle aber. Zudem seien diese Datenberge wegen der Anonymisierung auch noch untauglich für die angestrebten Zwecke.

BSI wird selbst Zertifizierer

Ein zweiter, immer wieder geäußerter Kritikpunkt bezieht sich auf § 9b BSIG-E. Hier ist festgelegt, dass das BSI bestimmt, welche Komponenten kritisch sind und dass diese Komponenten nun zwei Hürden nehmen müssen:

Erstens müssen sie technisch zertifiziert werden - und zwar zukünftig vom BSI selbst. Dieser kann zwar die technischen Prüfungen, nicht aber die Zertifizierung selbst an Dritte auslagern. Das kritisiert bei weitem nicht nur der TÜV-Verband in seiner Stellungnahme, der selbst in großem Umfang als Zertifizierer tätig ist.

Zweitens müssen die Anbieter solcher Komponenten Vertrauenswürdigkeitserklärungen liefern. Deren Glaubwürdigkeit soll dann wohl entscheiden, ob eine solche Komponente eingebaut werden darf. Man spricht hier bereits von einem 'Lex Huawei', zumal vollkommen unklar ist, wie diese Glaubwürdigkeit festgestellt werden soll. Moniert wird hieran nicht nur, dass mit dem Kriterium Vertrauenswürdigkeit, ein politisches Kriterium neben ein technisches gesetzt wird.

Was wird mit bereits eingebauten Komponenten?

Zudem fragen die Betreiber KRITIS-relevanter Rechenzentren nach Bestandssystemen.

• Was passiert, wenn einschlägige Komponenten bereits in ihren Rechenzentren verbaut wurden, deren Hersteller am Ende als nicht vertrauenswürdig eingestuft wird?

• Müssen sie dann herausgerissen werden, und wer zahlt dafür?

• In welcher Frist ist der Rückbau fällig?

• Was ist, wenn Hersteller auf ihrem Feld ein Quasimonopol haben?

• Und welche Rolle spielen im Rahmen der Zertifizierung und Vertrauenswürdigkeitserklärung Reseller und Integratoren? Oft genug ist es ja gar nicht der Hersteller, der die Systeme an Betreiber verkauft.

All dies müsse dringend geklärt werden, solle das Gesetz nicht zum impraktikablen Monster werden. Schließlich wird von mehreren Verbänden angesprochen, was mit anderen Komponenten eines Herstellers passiert, wenn eine bestimmte nicht zertifiziert wird. Darf von diesem Hersteller dann gar nichts mehr eingesetzt werden? Oder bleiben die anderen Komponenten erlaubt? Macht eine nicht akzeptierte Vertrauenswürdigkeitserklärung vorher erteilte Zertifizierungen ungültig?

Niemand will UNBÖFI

Genauso kritisch wird die Einführung der Kategorie so genannter Unternehmen in besonderem öffentlichen Interesse (UNBÖFI) gesehen, für die ein Teil der KRITIS-Anforderungen gelten soll. Die betroffenen Unternehmensgruppen sind laut §2, Abs.14 BSIG-E sicherheitsrelevante Bereiche (Rüstungsindustrie), Industrie-Unternehmen mit überragender Bedeutung und umwelt- sowie gesundheitsgefährdende Firmen.

Ein KRITIS-light sei unnötig, heißt es in mehreren Stellungnahmen. Dies gelte besonders, da das Sicherheitsverhalten mancher der betroffenen Unternehmen bereits im Rahmen anderer Bestimmungen abgedeckt sei. So werde die Rüstungsindustrie beispielsweise durch das Außenwirtschaftsgesetz reguliert.

Portscans reichen nicht

Eine weitere Bestimmung, die erhebliches Missfallen erregt, legt fest, das BSI jetzt selbst Portscans bei KRITIS-Einrichtungen durchführen und Honeypots einrichten darf (§ 7g BSIG-E).

Die Genossenschaft DENIC eG, die die Top-Level-Domains in Deutschland verwaltet, vermisst für diesen Passus eine Begründung. DENIC weist außerdem darauf hin, dass Internet-Adressen ohnehin nicht national, sondern europaweit vergeben werden. Sie eigneten sich also denkbar schlecht, um die nationale Sicherheit zu erhöhen. Im Übrigen seien Portscans spätestens bei flächendeckendem Einsatz von IPv6 wegen der Unmengen an Adressen kein geeignetes Mittel mehr.

Auch die AG Kritis hält Portscans aus technischen Gründen nicht für ausreichend, um Schwachstellen oder die Kompromittierung der Sicherheit festzustellen. Vielmehr brauchte man dazu weitere technische Maßnahmen.

So werden Sicherheitsprüfungen gefährlich

Die AG Kritis merkt an, dass für die Durchführung der Bestimmung eine Liste der Systeme angelegt werden müsste, die das BSI scannen darf. Das sei kontraproduktiv, denn eine solche Liste sei selbst ein hochwertiges Ziel krimineller Aktivitäten.

Auch die so genannten Honeypots, also digitale Simulationen sicherheitsrelevanter Anlagen, die sich im Internet befinden, seien nur unter bestimmten Bedingungen sinnvoll. Gleich mehrere Verbände warnen davor, auf diese Weise einschlägige Infrastruktureinrichtungen, etwa E- oder Wasserwerke, aber auch Produktionslinien ohne Kenntnis von Betreibern zu simulieren. Schließlich könnten Angreifer solche Implementierungen als Trainingsfeld für ihre Hacking-Aktivitäten nutzen.

Auch der Wirtschaftsbeirat des UP Kritis wirbt eindringlich dafür, vor Portscan- oder ähnlichen Aktivitäten die Betreiber der überprüften Anlagen zu benachrichtigen. UP Kritis ist im Gegensatz zur AG Kritis ein von BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtetes offizielles öffentlich-privates Gremium, in dem sich Betreiber einschlägiger Anlagen mit Vertretern dieser beiden Einrichtungen regelmäßig zusammenfinden.

Sicherheitslücken sofort weitermelden

Eine Benachrichtigung bei Scan- oder ähnlichen Aktivitäten durch das BSI fordert UP Kritis schon allein deshalb, weil derartige Aktionen schlimmstenfalls zu Systemabstürzen der kritischen Infrastruktur führen könnten und damit zum Gegenteil des Erstrebten. Scharfe Kritik wird von allen möglichen einschlägigen Gruppierungen auch daran geübt, dass das BSI ihm bekannt gewordene Sicherheitsbeeinträchtigungen und -lücken nicht in jedem Fall sofort an die Betreiber der betroffenen IT-technischen Anlagen weitergeben muss (§4b BSIG-E).

Vielmehr darf das Amt sie bei Vorliegen anderer Sicherheitsinteressen dem betreffenden Betreiber zumindest vorläufig verschweigen. Die Branche ist einhellig der Meinung, dass nur ein unverzügliches gemeinsames Vorgehen dafür sorgt, dass aus bereits erkannten Sicherheitslücken kein Schaden entsteht.

Bitkom: Rechtliche Inkonsistenzen vorprogrammiert

Der Branchenverband Bitkom moniert besonders, dass eine klare Definition der Schutzzwecke, aus denen dann ein entsprechendes Maßnahmenprofil ableitbar wäre, im Gesetz bislang fehlt. Dadurch sei, frei ausgedrückt, der Entwurf nach wie vor eher erratisches Stückwerk.

Zudem fehle es an Koordination mit anderen einschlägigen Gesetzeswerken und Verordnungen insbesondere auch auf europäischer Ebene. Gerade im Verhältnis zur europäischen Vorschriften und Aktivitäten, aber auch im Verhältnis zur deutschen Telekommunikationsgesetzgebung gebe es dringenden Abstimmungsbedarf. Beispielsweise - und das wird auch von anderen moniert - gebe es kein Bedarf für ein ausschließlich deutsches IT-Qualitätssiegel für KRITIS-Einrichtungen. Derlei werde am Ende unweigerlich zu Kompetenzgerangel und Doppelregelungen führen.

(ID:47186719)