MEINUNG: IT Sicherheit - im Dschungel der Zuständigkeiten

Berlin - Nach der Vorlage des diesjährigen Berichts des Bundesamtes für die Sicherheit in der Informationstechnik (BSI) sind bei Politik und Fachleuten Diskussionen um eine wirksame Koordinierung der bundesdeutschen Fähigkeiten zur Cyberabwehr entbrannt. In dem Papier des dem Innenministeriums nachgeordneten BSI, warnen die Informatiker vor einer sich verschärfenden Bedrohungslage für Deutschland im Cyberspace. 

Die Bedrohung aus dem Netz ist meist anonym - jedoch nicht ohne Urheber oder
Operationsziele. Symbolbild: Radio Prag (radio.cz)

 "Es gibt nach wie vor eine hohe Dynamik der Angreifer bei der Weiterentwicklung von Schadprogrammen und Angriffswegen. Darüber hinaus gibt es z. B. mit den entdeckten Schwachstellen in Hardware eine neue Qualität der Bedrohung, wie bei den Sicherheitslücken Spectre/Meltdown und Spectre NG, die ohne einen Austausch der Hardware nicht vollständig geschlossen werden können," hieß es im Pressekommuniqué zum Bericht am Donnerstag in Berlin.

Viele Köche verderben den Brei

Das Nationale Cyber-Lagezentrum des BSI. Bild: BSI

Ein weiteres Problem sind die unklaren Zuständigkeiten und Fähigkeitsprofile im Bereich der Computersicerheit. Einerseits nimmt das BSI für sich in Anspruch, für die deutsche Cyberabwehr zuständig zu sein. Hierzu gibt es auch ein ständig besetztes Lagezentrum. Was die Beamten ader konkret dürfen und wieviel sie im Falle eines Hackerangriffs überhaupt handwerklich können, scheint fragwürdig.

Gleichzeitig veröffentlicht auch das Bundeskriminalamt (BKA) einen Bericht zu Cybercrime und sieht die so begangenen, oft transnationalen Straftaten auch als seine Zuständigkeit an. Zur gleichen Zeit betreibt ebenfalls im Innenministerium die Bundespolizei einen IT Grundschutz und bietet Zertifizierungen und Schutz ebenfalls für Unternehmen und öffentliche Einrichtungen an. Um dem Dschungel der Zuständigkeiten und angestrebten Fähigkeiten die Krone aufzusetzen, hat Bayern als erstes Bundesland eine Parrallelstruktur mit seinem Landesamt für Sicherheit in der Informationstechnik geschaffen. 

Die meisten Behörden und Dienststellen sind noch nicht so
vernetzt, wie es sinnvoll wäre. Bild: BMVg.de

Über die genauen Mannstärken und Kapazitäten der Nachrichtendienste (Verfassungsschutzbehörden, MAD, BND) liegen nur ungesicherte Erkenntnisse vor. Das Kommando Cyber- und Informationsraum der Bundeswehr ist indes mit Abstand der mannsätrkste Teil der deutschen Cyberabwehr. Doch wer tausende Soldaten in Rechenzentren und auf Hackerfarmen vermutet, der wird enttäuscht. Viele Bedienstete des Kommandos dienen ganz klassisch in Einheiten, die früher zur Fernmeldetruppe, zur Truppe Operative Information (bzw. Operative Kommunikation) oder zur Elektronischen Kampfführung (EloKa) gehörten. Nur ein kleiner Teil gehört wirklich zu den IT-Spezialisten.

Ist ein Cyberangriff eine Attacke von Außen auf das Bundesgebiet?

Großbritannien macht es vor: Kompetenzen und Fähigkeiten zum Cyberkampf werden
beim GCHQ gebündelt. Bild: MOD des UK

Auch hier herrscht Unklarheit über Maßnahmen, Befugnisse Friedensfall und Zuständigkeit. Das die deutschen Cyberkrieger sich durchaus mit anderen Nationen messen können, hat dieses Jahr ein weiteres Mal die NATO Übung "Locked Shields" in Tallinn gezeigt. Dennoch klagen auch hier die Experten, dass es an Manpower und Infrastruktur fehle um viel mehr als einen Teil der eignen Rechnerstruktur zu schützen.

Solange es innerhalb der Bundesregierung keine klaren Zuständigkeiten und Umsetzungskonzepte gibt, wird die Cybersicherheit leider ein ineffizienter Flickenteppich bleiben. Daher braucht es für einen ausreichenden und bezahlbaren Schutz von digitaler Infrastruktur und zur Abwehr von Angriffen aus dem Netz einen koordinierten und ineinandergreifenden Verteilungsplan, der nicht nur die praktischen Erfordernisse der Abwehr, sondern auch die verfassungsmäßigen Zuständigkeiten und Grenzen ausreichend berücksichtigt.

#

SichPol.de/pvk