Bürgerrechtler und Bitkom fordern strenges Schwachstellenmanagement

Die geplante Geheimdienstreform weckt in Fachkreisen Sorgen um die IT-Sicherheit in Deutschland. Die Neuordnung der Sicherheitsarchitektur soll dem Bundesnachrichtendienst (BND) und dem Bundesamt für Verfassungsschutz erweiterte Befugnisse im Cyberspace einräumen. Dazu zählen Instrumente zur aktiven Cyberabwehr. Die Gesellschaft für Freiheitsrechte (GFF) und der IT-Verband Bitkom warnen vor großen Risiken. In einem gemeinsamen Papier fordern sie verbindliche Regeln für den staatlichen Umgang mit IT-Sicherheitslücken.

Der Gesetzgeber müsse verhindern, dass Behörden ein Interesse daran entwickeln, Schwachstellen offenzuhalten oder ihre Beseitigung zu verzögern, fordern Bitkom und GFF. Jede bekannte, aber nicht geschlossene Sicherheitslücke gefährde Bürger, Firmen, Behörden und kritische Infrastrukturen. Auch Kriminelle oder fremde Geheimdienste könnten sie ausnutzen. Damit stünde nicht nur die Sicherheit digitaler Systeme, sondern auch das Grundrecht auf Vertraulichkeit und Integrität von IT-Systemen auf dem Spiel, heißt es in dem Papier.

GFF und Bitkom stellen drei zentrale Forderungen für den Umgang mit Schwachstellen auf, die staatliche Stellen entdecken. Grundsätzlich müsse deren Behebung Vorrang haben. Verantwortungsvolle Offenlegung (Responsible Disclosure) und der Schutz betroffener Systeme sollten an erster Stelle stehen. Wenn Nachrichtendienste eine Sicherheitslücke entdecken, dürfe dies nicht automatisch dazu führen, dass sie diese operativ ausnutzen oder ihre Schließung verzögern.

Deshalb verlangen die Verfasser ein gesetzlich verankertes Schwachstellenmanagement. Soll eine Lücke ausnahmsweise offengehalten werden, müsse dem eine strenge, verbindliche und strukturierte Abwägung vorausgehen. Dabei seien die Risiken einer weiteren Verbreitung und Ausnutzung gegen den konkreten operativen Nutzen zu stellen. Erforderlich seien klar definierte Kriterien, verpflichtende Maßnahmen zur Risikominderung und eine wirksame Kontrolle der Entscheidungen. Auch dürften gesetzliche Schutzvorgaben nicht durch Verträge oder Kooperationen mit Dritten umgangen oder abgeschwächt werden.

Vertrauenswürdige Meldestellen schützen

Ein weiterer Schwerpunkt des Papiers ist der Schutz vertraulicher Meldewege. Sicherheitsforscher, Unternehmen und Institutionen müssten darauf vertrauen können, dass Informationen über Schwachstellen, die sie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen seiner Melde- und Koordinierungsaufgaben anvertrauen, geschützt bleiben. GFF und Bitkom fordern deshalb, eine Weitergabe solcher Informationen an die Dienste auf jeden Fall gesetzlich auszuschließen.

Würde dieses Vertrauen beschädigt, könnten Sicherheitsforscher und Unternehmen davon abgehalten werden, entdeckte Schwachstellen zu melden. Kritische Lücken würden dann womöglich verschwiegen, statt sie den zuständigen Stellen zur Behebung mitzuteilen. Das könnte die IT-Sicherheit insgesamt schwächen. 2024 hatte sich die Ampel darauf geeinigt, Bundesbehörden zur Meldung bekannter Sicherheitslücken an das BSI zu verpflichten. Die Initiative schaffte es aber nicht mehr durch den Bundestag.

Das Bundesinnenministerium wollte das BSI dagegen unlängst dazu verpflichten, sicherheitsrelevante Erkenntnisse inklusive noch nicht weithin bekannter Sicherheitslücken schon in frühen Phasen eines Angriffs an den BND zu übermitteln. Bitkom und GFF halten dagegen: Ein geregelter Umgang mit Schwachstellen sei nicht nur für eine widerstandsfähige digitale Infrastruktur erforderlich, sondern auch verfassungsrechtlich geboten. Das Bundesverfassungsgericht habe eine grundrechtliche Schutzpflicht des Staates hervorgehoben.