12. Wahlperiode

Transkript

1 12. Wahlperiode Antrag der Fraktion Die Republikaner und Stellungnahme des Innenministeriums Stand der Kryptopolitik in Baden-Württemberg Antrag Der Landtag wolle beschließen, die Landesregierung zu ersuchen I. zu berichten, 1. welche rechtlichen Folgen das Abkommen vom 3. Dezember 1998, in dem sich die Bundesregierung im Rahmen der Wassenaar Arrangements verpflichtet hat, den Export von Kodierverfahren ab einer Schlüssellänge von 56 bzw. 64 Bit (symmetrisch) zu kontrollieren, für die baden-württembergische Kryptopolitik bisher entfaltet hat; 2. ob aus dem in Frage 1 angesprochenen Abkommen gefolgert werden kann, dass der freie Austausch von Krypto-Produkten zwischen den Teilnehmerländern des Abkommens (z.b. zwischen den USA und den meisten europäischen Staaten) keinen Beschränkungen mehr unterliegt; 3. welche Konsequenzen auf EU-Ebene bisher aus dem in Frage 1 angesprochenen Abkommen gezogen wurden; 4. welche rechtlichen Folgen die seitens der Bundesregierung im Juni 1999 formulierten Eckpunkte der deutschen Kryptopolitik für die badenwürttembergische Kryptopolitik bisher entfaltet haben; 5. ob und ggf. welche Widersprüche die Landesregierung zwischen den Eckpunkten der deutschen Kryptopolitik und dem in Frage 1 angesprochenen Abkommen sieht; Eingegangen: / Ausgegeben:

2 6. ob und ggf. warum die Landesregierung die Auffassung teilt, dass der Inhalt des in Frage 1 angesprochenen Abkommens in scharfem Gegensatz zur Empfehlung der Medien-Enquetekommission des Bundestages steht; 7. wie die Landesregierung zu der Auffassung steht, dass die Verschlüsselungsprogramme in der Stärke bis 64 Bit, die nicht der Exportbeschränkung unterliegen, keinesfalls als sichere Kodierverfahren für elektronische Kommunikation angesehen werden können; 8. welche Kodierverfahren die Landesregierung der baden-württembergischen Wirtschaft als sicher gegen den Zugriff Dritter empfiehlt; 9. ob die in Frage 1 angesprochenen Exportkontrollen vorschreiben, dass ab einer Schlüssellänge von 64 Bit das Prinzip des key recovery für Kodierverfahren greift; 10. welche rechtlichen und ökonomischen Konsequenzen sich ggf. aus dem in Frage 9 angesprochenen Beschränkungen für die baden-württembergische Krypto-Wirtschaft bisher ergeben haben; II. die Landesregierung aufzufordern, einen Bericht über den Stand der baden-württembergischen Kryptopolitik vorzulegen Dr. Schlierer, Krisch, Deuschle, Käs, König und Fraktion Begründung Durch illegales Ausspähen, Manipulieren oder Zerstören von Daten entstehen der baden-württembergischen Wirtschaft Schäden in Milliardenhöhe. Vor diesem Hintergrund kommt der Datensicherheit im internationalen Wettbewerb eine immer zentralere Rolle zu, weil von dieser in immer höherem Maße die Sicherheit der Arbeitsplätze der betroffenen Unternehmen und Wirtschaftsbereiche abhängen. Stellungnahme Mit Schreiben vom 7. Dezember 1999 Nr /52 nimmt das Innenministerium zu dem Antrag wie folgt Stellung: Zu I. 1.: Das Wassenaar Arrangement regelt die Kontrolle beim Export konventioneller Waffen und so genannter Dual-Use -Güter, also Produkte und Technologien, die sowohl für zivile als auch militärische Zwecke verwendet werden können. Unter den Dual-Use -Gütern listet das Wassenaar Arrangement in der Kategorie 5.2. Informationssicherheit auch Verschlüsselungstechnologien sowohl in Form von Computerprogrammen zur Verschlüsselung von Informationen als auch von Verschlüsselungshardware auf. Die Bundesrepublik 2

3 hat dieses Abkommen mit unterzeichnet. Das Bundeskabinett hat darüber hinaus in seiner Sitzung vom 2. Juni 1999 die deutsche Haltung zur Frage der Nutzung kryptographischer Verfahren beim Einsatz im elektronischen Geschäftsverkehr in Form von Eckpunkten der deutschen Kryptopolitik entschieden. Exportkontrollen sind im Außenwirtschaftsgesetz bzw. in der Außenwirtschaftsverordnung geregelt. Die Ressortzuständigkeit liegt beim Bundesministerium für Wirtschaft und Technologie (BMWi), die Fachaufgabe wird vom Bundesausfuhramt/BAFA wahrgenommen. Umgesetzt wurde die Neuregelung der Dual-Use-Verordnung mit der Änderung und Neubekanntmachung der Allgemeinen Genehmigung Nr. 16 (Telekommunikation und Informationssicherheit) des Bundesausfuhramts (BAFA), die seit 18. April 1999 in Kraft ist. Grundlage dieser Änderung ist der EU-Rats-Beschluss 1999/193 GASP (Abl. EG Nr. L73 S.) vom 9. März 1999 zur Änderung der Güterliste für die Ausfuhr aus der EU. Diese Änderungen basieren auf den Beschlüssen der internationalen Exportkontrollforen (Wassenaar Arrangement, Nuclear Suppliers Group und Australische Gruppe). Der EU-Beschluss weist jedoch ausdrücklich darauf hin, dass innerhalb der EU keine Schlüssellängenbeschränkungen vorgesehen werden. Die Bekanntmachung des BAFA führt hierzu aus, dass damit insbesondere die Erleichterungen bei der Ausfuhrkontrolle für Computer, Telekommunikation und Verschlüsselungstechnik umgesetzt werden. Zuständig ist daher der Bund. Das Land Baden-Württemberg hat hier keinerlei Regelungs- und Kontrollbefugnis. Zu I. 2.: Die Regelungen des Wassenaar Arrangements von 1998 schreiben die bis dahin bereits getroffenen internationalen Exportkontrollvereinbarungen fort. Schon bis zu diesem Abkommen bestanden Bewilligungspflichten für die Ausfuhr von Verschlüsselungsprodukten in Nichtmitgliedsstaaten, da solche Produkte meist als so genannte Dual-Use-Güter betrachtet werden, die sich sowohl zivil als auch militärisch nutzen lassen. Das Wassenaar Arrangement sieht demzufolge auch kein Verbot, sondern eine Kontrolle des Exports waffennaher Produkte vor. (Verschlüsselungs-) Software, die etwa von Web- Browsern oder E-Commerce-Servern vertrieben wird (Shareware) ist davon aber ausgenommen. Auch für Verschlüsselungssoftware wie z.b. die Freeware-Version von Pretty-Good-Privacy/PGP, die im Internet kostenlos und frei erhältlich ist (Public Domain Software), werden gegen den ausdrücklichen Willen der USA nach wie vor keine Restriktionen vorgeschrieben. Für den Export innerhalb der Unterzeichnerstaaten des Abkommens sieht dieses keine Exportkontrollen vor. Die Vereinbarung erlaubt jedoch den einzelnen Unterzeichnerstaaten eigene, auch strengere, Exportbeschränkungen einzuführen. Namentlich die USA haben hier momentan schärfere Beschränkungen und Bewilligungspflichten beim Export von Verschlüsselungsprodukten (Verschlüsselungssoftware, sofern sie Schlüssel verwenden, die länger als 64 Bit und Verschlüsselungshardware, sofern sie Schlüssel verwendet, die länger als 56 Bit sind). Zu I. 3.: Auf die Antwort zu I. 1. wird verwiesen. Nach Auskunft des BMWi gilt für die EU zunächst eine 2-Jahres-Frist. Danach soll das Abkommen, sofern sich gravierende Wettbewerbsnachteile für europäische Unternehmen ergeben sollten, neu überdacht und ggf. überarbeitet werden. 3

4 Das Abkommen selbst muss in den einzelnen Unterzeichnerstaaten jeweils noch ratifiziert und in nationales Recht umgesetzt werden. Zum Stand der jeweiligen Umsetzung in den Mitgliedsstaaten liegen der Landesregierung keine detaillierten Erkenntnisse vor. Zu I. 4.: Auf die Antwort zu Frage I 1. wird verwiesen. Zu I. 5.: Die Landesregierung sieht keine Widersprüche zwischen dem Abkommen und dem Eckpunkte-Papier der Bundesregierung. Zu I. 6.: Die Landesregierung kann keinen scharfen Gegensatz zwischen dem Wassenaar Arrangement und der Empfehlung der Medien-Enquetekommission des Bundestags erkennen. Zu I. 7.: Die Sicherheit von Kryptoverfahren und -produkten umfasst als primäre Anforderungen Vertrauenswürdigkeit, Interoperabilität, Portabilität und Mobilität sowie als sekundäre Aspekte Ergonomie, Konformität und Robustheit. Auf der Basis der Anforderungen des Bundesamtes für Sicherheit in der Informationstechnik/BSI gelten heute folgende Beurteilungskriterien und -maßstäbe: Schutzbedarf der betroffenen Information, gemessen anhand der Schadenswirkung ihrer eventuellen Kompromittierung Grad ihrer Bedrohung Daraus folgt ein Katalog von Sicherheitsanforderungen an ein Verschlüsselungssystem: Algorithmische Sicherheit Schlüsselmanagement Fehlbedienungs- und Fehlfunktionssicherheit Manipulationssicherheit Unterbindung verdeckter Kanäle Die Sicherheit eines Kryptoverfahrens hängt also sowohl von dem Algorithmus (Stromchiffren, Blockchiffren, Öffentliche Chiffren i.s.v. Public Key Infrastructure [PKI]) und der Schlüssellänge als auch von den weiteren genannten Faktoren ab, die sich insbesondere auf die konkret zu sichernde Anwendung und ihr technisch-organisatorisches Umfeld sowie auf die Art der Implementierung eines Verschlüsselungsverfahrens auf einem Rechner beziehen. Bei bestimmten Blockchiffren wird eine Schlüssellänge von 64 Bit heute nicht mehr als für alle Fälle ausreichend sicher angesehen. Zu I. 8.: Die Landesregierung empfiehlt der Wirtschaft Verschlüsselungsverfahren und -produkte, die vom Bundesamt für Sicherheit in der Informationstechnik/BSI zertifiziert, evaluiert, zugelassen oder freigegeben sind. 4

5 Zu I. 9.: Nein. Zu I. 10.: Keine. Auf die Antwort zu Frage I 1. wird verwiesen. Zu II.: Da die Zuständigkeit für Kryptoverfahren sowohl hinsichtlich der internationalen Verträge und der Gesetzgebungsbefugnis als auch hinsichtlich der Vollziehung ausschließlich beim Bund liegt, gibt es keine eigenständige Kryptopolitik des Landes Baden-Württemberg. Dr. Schäuble Innenminister 5