Stellungnahme des bevh - Bundesverband E-Commerce und Versandhandel Deutschland e.v. -

Transkript

1 Stellungnahme des bevh - Bundesverband E-Commerce und Versandhandel Deutschland e.v. - zum Referentenentwurf des Bundesministeriums des Innern Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) Berlin, 22. September 2014 Version 1.0 Ansprechpartner: RA Sebastian Schulz, Public Affairs Datenschutz Rechtspolitik Wesentlicher Gegenstand des Referentenentwurfs für ein IT-Sicherheitsgesetz ist der Abbau von Defiziten im Bereich IT-Sicherheit und eine signifikante Verbesserung der Sicherheit informationstechnischer Systeme in Deutschland. Insbesondere der Schutz der IT-Systeme Kritischer Infrastrukturen, die für das Funktionieren unseres Gemeinwesens von überragender Bedeutung sind, habe höchste Priorität. Daneben werden von den Vorgaben des Entwurfs auch Anbieter entsprechender Mediendienste adressiert. Im Wege einer Ergänzung des Telemediengesetzes (TMG) sollen Diensteanbieter dazu verpflichtet werden, dass ein Zugriff auf Telekommunikations- und Datenverarbeitungssysteme nur für Berechtigte möglich ist. Ausweislich der Entwurfsbegründung sind von der Verpflichtung jedoch nahezu sämtliche Formen von Telemedien erfasst, mithin auch Online-Shops. Bei personalisierten Telemediendiensten soll den Nutzern die Anwendung eines sicheren und dem Schutzbedarf angemessenen Authentifizierungsverfahrens angeboten werden. Der bevh begrüßt die Intention des Gesetzgebers, die Nutzung informationstechnischer Systeme für den einzelnen Nutzer sicherer ausgestalten und darüber die Sicherheit der Netzinfrastruktur im Allgemeinen erhöhen zu wollen. Bei genauer Würdigung des Entwurfs wirft dieser jedoch zahlreiche Fragen auf, die auf Seiten der Adressaten zu erheblicher Rechtsunsicherheit führen wird. Darüber hinaus droht die Formulierung in Artikel 2 für einen 13 Abs. 7 TMG-neu die Gefahr, vor allem kleine und mittlere Unternehmen zu überfordern. 1/5 Bundesverband E-Commerce und Versandhandel Deutschland e.v. Friedrichstraße 60 Atrium Friedrichstraße Berlin Telefon: Telefax: info@bevh.org Amtsgericht Berlin-Charlottenburg VR 30245B Steuer-Nr USt-IdNr. DE Nassauische Sparkasse Konto-Nr.: BLZ: IBAN: DE BIC: NASSDE55XXX

2 Unsere Kritik im Einzelnen 1. Der Gesetzentwurf führt zu Rechtsunsicherheit Der Entwurf sieht eine Novellierung von 13 TMG vor. Über einen neuen Absatz 7 sollen Diensteanbieter von Telemedien einerseits erforderliche technische und organisatorische Vorkehrungen ergreifen, um Zugriffe Unberechtigter auf TK- und DV-Anlagen zu vermeiden. Zum anderen sollen personalisierte Telemediendienste mit sicheren Authentifizierungsverfahren angeboten werden. Die Entwurfsverfasser haben sich zur Konkretisierung dieser Verpflichtung in nur einem Absatz neun unbestimmter Rechtsbegriffe bedient, namentlich: (7) Diensteanbieter im Sinne von 7 Absatz 1 und 10 Absatz 1 haben, soweit dies technisch möglich❶ und zumutbar❷ ist, für geschäftsmäßig❸ in der Regel gegen Entgelt angebotene❹ Telemedien durch die erforderlichen❺ technischen und organisatorischen Vorkehrungen sicherzustellen, dass ein Zugriff auf die Telekommunikations- und Datenverarbeitungssysteme nur für Berechtigte❻ möglich ist. Vorkehrungen nach Satz 1 müssen den Stand der Technik❼ berücksichtigen. Bei personalisierten Telemediendiensten ist den Nutzern die Anwendung eines sicheren❽ und dem Schutzbedarf angemessenen❾ Authentifizierungsverfahrens anzubieten. Eine solche Gesetzestechnik widerspricht ersichtlich dem Anspruch einer anwenderfreundlichen, verständlichen Gesetzgebung und verletzt den Bestimmtheitsgrundsatz in eklatanter Weise. Über nämliche Formulierung wird nicht einmal ein Mindestmaß an Rechtsicherheit hergestellt. Für die Adressaten der Norm, klassischerweise Spezialisten der IT, die regelmäßig nicht über ausgeprägte Kenntnisse der Auslegung normativer Tatbestandsmerkmale oder der Herstellung praktischer Konkordanz verfügen, ist dieses Gesetz schlicht untauglich. Selbst kundige Rechtsanwender werden bei Umsetzung der Anforderungen scheitern. So kann bereits die Definition des Standes der Technik ausgesprochen komplex sein. Denn anders als etwa bei dem Maßstab der allgemein anerkannten Regeln der Technik kann hier nicht auf eine Mehrheitsauffassung zurückgegriffen werden. Zudem sind Shopbetreiber gerade hinsichtlich der von Ihnen genutzten Systeme regelmäßig auf System-Updates der Hersteller angewiesen. Es liegt damit letztlich gerade nicht in den Händen der Shopbetreiber, Ihre Systeme ununterbrochen auf dem neuesten Stand zu halten. Wird der Gesetzestext nicht 2/5

3 deutlich verständlicher ausgestaltet, wird dessen rechtskonforme Umsetzung in der Praxis unmöglich sein. 2. Zu hohe Anforderungen überfordern KMU Die Vorgabe zum Vorhalten angemessener Authentifizierungsverfahren bei personalisierten Telemediendiensten trifft alle Shopbetreiber, die über interne Kundenbereiche verfügen. Losgelöst von der auch hier zu stellenden Frage, welche Authentifizierungsverfahren sicher und dem Schutzbedarf angemessen sind und wer diese Festlegung trifft, wird diese Vorgabe bei strenger Auslegung zum ernsthaften Problem für Shopbetreiber. Mögen neue Authentifizierungsverfahren gegebenenfalls isoliert betrachtet noch ohne unverhältnismäßigen Aufwand einzubinden sein, hängt der eigentliche Implementierungsaufwand, wie bei jeder anderen Programmieranforderung auch, regelmäßig von zahlreichen weiteren Umgebungsfaktoren ab. In der Praxis wird danach die Einbindung des neuen und sicheren Authentifizierungsverfahrens umfassende Anpassungen in der gesamten IT-Umgebung erforderlich machen, die vor allem durch kleine und mittlere Unternehmen existenzgefährdende Ausmaße annehmen können. 3. Keine Zentrierung des medienspezifischen Internet-Risikos Die Vorgaben in 13 Abs. 7 Satz 1 und 13 Abs. 7 Satz 3 TMG-neu überantworten das medienspezifische Risiko des Internets einseitig auf Diensteanbieter von Telemedien. Nach 13 Abs. 7 Satz 1 TMG-neu soll im Ergebnis das Unternehmen "sicherstellen", dass beispielsweise über Werbung, die über die Seite des Unternehmens transportiert wird, keine Schadsoftware transportiert werden kann. Hierbei ist über die Formulierung "sicherzustellen" Ergebnisverantwortlichkeit und damit ein Haftungstatbestand dafür geschaffen, dass Werbung, die der Internet-Seite des Unternehmens zugespielt wird, weder direkt noch indirekt über weitere Verlinkungen zu Seiten führen, die kompromittierende Inhalte, insbesondere Schadsoftware enthalten. Eine solche undifferenzierte Überantwortung der Verantwortlichkeit an Onlineshop-Betreiber ist unverhältnismäßig und deshalb verfehlt. Eine an Diensteanbieter von Telemedien gerichtete Verpflichtung, Internet-Auftritte vor gezielt von von dritter Seite platzierten schädlichen Inhalten freizuhalten, ist schlechterdings keinem Unternehmen vollständig möglich. So räumt zwar die Entwurfsbegründung ein, dass z. B. auch über kompromittierende Werbe-Banner, die über 3/5

4 Affilialte-Netzwerke auf die entsprechende Shop-Seite eingespielt werden, kompromittierende Inhalte transportiert werden können, sodass der Shop-Betreiber selbst nicht unmittelbar Einfluss hierauf hat. Der dort gemachte Lösungsvorschlag, das Unternehmen solle sich mit entsprechenden organisatorischen Vorkehrungen, beispielsweise vertraglichen Schutzklauseln oder technischen Schutzmaßnahmen, absichern, wird dem gesetzten Haftungstatbestand nicht gerecht. Auch ein Unternehmen, das sich beispielsweise von Affiliate-Netzwerken oder einem Werbetreibenden vertraglich zusichern lässt, dass die geschaltete Werbung selbst keine kompromittierende Inhalte enthält, bleibt angesichts der gewählten Formulierung in 13 Abs. 7 Satz 1 TMG-neu im Ergebnis haftbar, wenn die vertragliche Zusicherung durch den Verantwortlichen der Werbung nicht eingehalten wird. Der Shop-Betreiber wird damit einerseits in eine Ergebnishaftung genommen, andererseits sind die Möglichkeiten den Risiken wirksam entgegenzutreten, höchst begrenzt. Dies gilt umso mehr, als Dritte, die solche kompromittierenden Inhalte beispielsweise hinter Werbe-Bannern platzieren, in der Regel sehr gezielt und technisch ausgefeilt ihre Schadsoftware platzieren, dies in der Regel mit gezielt krimineller Energie. 13 Abs. 7 letzter Satz TMG-neu nimmt die gleiche einseitige vollständige Risikoverlagerung zu Lasten der Shop-Betreiber vor. Auch hier wird im Ergebnis ein Haftungstatbestand zu Lasten des Shop-Betreibers dahin gehend formuliert, dass die benutzten Authentifizierungsverfahren sicher sein müssen. Die gewählte Formulierung führt zu einer einseitigen Haftungsverschiebung für medienspezifische Risiken, für die schlechterdings niemand umfassend Haftung übernehmen kann. So wird zwar in der Begründung vorgetragen, dieser Vorgabe sei schon dann entsprochen, wenn den entsprechenden Empfehlungen des BSI gefolgt werde. Dies verkennt aber bereits, dass der Hinweis auf den Stand der Technik in 13 Abs. 7 Satz 2 TMG-neu sich ausdrücklich nicht auf die Authentifizierungsverfahren im Satz des Vorschlags bezieht. Mit anderen Worten haftet das Unternehmen nach dem neuen Vorschlag für ein fehlerhaftes Authentifizierungsverfahren selbst dann, wenn auch das BSI noch oder noch nicht von der Fehlerhaftigkeit des Systems Kenntnis erlangt hat. Hierbei handelt es sich durchaus um ein realistisches Szenario. In der Vergangenheit sind erhebliche Sicherheitslücken in bis dahin auch von Seiten des BSI sicher geglaubten Authentifizierungsverfahren festgestellt worden, nachdem von kriminellen Dritten umfangreich die Sicherheitslücken ausgenutzt wurden. Durch die neue Vorgabe in 13 Abs. 7 Satz 3 TMG-neu werden diese Risiken sämtlichst auf Shop-Betreiber verlagert. Das ist unverhältnismäßig und für Shop-Betreiber in 4/5

5 diesem Umfang schlicht nicht leistbar. Hierbei ist im Übrigen zu berücksichtigen, dass je nachdem, wie lange ein bislang als sicher geglaubtes Authentifizierungsverfahren von Dritten gehackt und missbraucht wurde, erheblich Schäden durch diese kriminellen Akte entstehen können, für die dann die Shop-Betreiber nach dem Wortlaut des neuen 13 Abs. 7 TMG haften sollen. Über den bevh Dank E-Commerce und Internet ist der Versandhandel so vital wie nie. Der Bundesverband E-Commerce und Versandhandel Deutschland e.v. (bevh) ist die Branchenvereinigung der Interaktiven Händler (d.h. der Online- und Versandhändler). Dem bevh gehören Versender mit gemeinsamem Katalog- und Internet-Angebot, reine Internet-Händler, Teleshopping- Unternehmen, Apothekenversender, Händler mit Heimat im Stationärhandel und Händler auf den Online-Marktplätzen an. Die Branche setzt aktuell jährlich im Privatkundengeschäft allein mit Waren über 48 Mrd. Euro um. Der Online-Handel mit Waren hat daran einen Anteil von rund 80 Prozent. Der jährliche Gesamtumsatz im Geschäft mit gewerblichen Kunden wird auf mindestens 8,8 Mrd. Euro geschätzt. Neben den Versendern sind dem bevh auch namhafte Dienstleister angeschlossen. Der bevh vertritt die Brancheninteressen aller Mitglieder gegenüber dem Gesetzgeber sowie Institutionen aus Politik und Wirtschaft. Darüber hinaus gehören die Information der Mitglieder über aktuelle Entwicklungen und Trends, die Organisation des gegenseitigen Erfahrungsaustausches sowie fachliche Beratung zu den Aufgaben des Verbands. 5/5