IT-Sicherheitsgesetz schafft Unsicherheit

Nach Ansicht des Präsidiumsarbeitskreises „Datenschutz und IT-Sicherheit“ der Gesellschaft für Informatik e.V. (GI) wird mit dem von der Bundesregierung im Entwurf vorgelegten IT-Sicherheitsgesetz nur ein unzureichendes Sicherheitsniveau erreicht – insbesondere in den wichtigen Unternehmen der Kritischen Infrastrukturen aber auch bei Privatpersonen. Bisher unveröffentlichte Sicherheitslücken (Zero-Day-Vulnerabilities) sollen auch künftig nicht veröffentlicht werden. Das Bundesamt für Sicherheit in der Informationstechnik hat nach dem Gesetz zwar die Aufgabe, Sicherheitslücken zu sammeln und auszuwerten, muss sie aber nicht veröffentlichen

Durch das Ausnutzen von Sicherheitslücken werden Hacking-Angriffe, Phishing-Attacken, Wirtschaftsspionage und -sabotage allerdings erst möglich - mit der Folge von Verlusten in Unternehmen in Milliarden Euro Höhe – und mit der mittelbaren Folge des Wegfalls von Arbeitsplätzen und Steuern.

Hartmut Pohl, Sprecher des Arbeitskreises: „Die international organisierte Kriminalität verdient Milliarden mit dem Handel unveröffentlichter Sicherheitslücken auf dem schwarzen Markt. Da diese Lücken jedoch nach wie vor nicht veröffentlicht werden, sind deutsche Unternehmen und Privatpersonen den IT-Angriffen schutzlos ausgeliefert.“

Inzwischen haben die 70 weltgrößten Softwareunternehmen erkannt, dass IT-Angriffe erfolglos sind, wenn keine ausnutzbaren Sicherheitslücken vorhanden sind, und fördern konsequenterweise die Veröffentlichung bislang nicht erkannter Sicherheitslücken.

Arbeitskreissprecher Pohl dazu: „Zur Erreichung eines angemessenen Sicherheitsniveaus – insbesondere in den Unternehmen der Kritischen Infrastrukturen - ist die Veröffentlichung der den Sicherheitsbehörden bekannten bislang unveröffentlichten Sicherheitslücken unverzichtbar. Nur so können sich Unternehmen und Privatpersonen nachhaltig gegen die ständig zunehmenden IT-Angriffe schützen.“