BULLETIN DER BUNDESREGIERUNG Nr. 67-3 vom 19. Mai 2015 Rede des Bundesministers des Innern, Dr. Thomas de Maizière, beim 14. Deutschen IT-Sicherheitskongress des Bundesamtes für Sicherheit in der Informationstechnik am 19. Mai 2015 in Bonn-Bad Godesberg: IT-Sicherheit künftige Herausforderungen für Staat, Wirtschaft und Gesellschaft Sehr geehrte Damen und Herren, Risiken kennen, Herausforderungen annehmen, das Motto des diesjährigen IT- Sicherheitskongresses ist nicht nur bei der Frage der IT-Sicherheit die Leitlinie klugen Handelns, es wäre auch gleichzeitig eine Maxime für gute Politik generell. Ein Blick in das Programm zeigt die vielen Facetten der IT-Sicherheit: Es geht um Sichere mobile Kommunikation, die Sicherheit von Plattformen und Netzen, Sicheres Cloud Computing und Sichere Identitäten, aber auch um das skalierbare Kryptographie-Verständnis im CryptTool und Trusted Control Flow Integrity, um Shoulder-surfing resistente Authentisierung. Ich gebe zu, dass ich bei einigen dieser Punkte nur eine eher vage Vorstellung davon habe, worum es geht. Es ist daher gut, wenn es in unserem Land IT-Fachleute wie Sie gibt, die sich mit diesen sehr speziellen Fragen auseinandersetzen und Lösungen für die vielfältigen Herausforderungen entwickeln. Wie vielfältig die Herausforderungen heute sind, das zeigen natürlich aktuelle Ereignisse. Das BSI kommt in seinem aktuellen Bericht für die Sicherheit in der Informationstechnik zu dem Ergebnis, dass nicht nur die Zahl von IT-Angriffen, sondern auch die Qualität der Angriffe zunimmt. Studien
- 2 - belegen, dass gut die Hälfte aller Unternehmen in Deutschland in den vergangenen zwei Jahren Opfer von digitaler Wirtschaftsspionage, Sabotage oder Datendiebstahl geworden ist. Wir diskutieren in diesen Tagen viel über Aktivitäten der USA und warum auch nicht das ist ein wichtiges Thema. Aber beim Thema Ausspähung sind grundsätzlich ganz andere Länder eine echte Bedrohung für das Internet in Deutschland und Europa. Wir wollen, dass unsere Arbeit vor Angriffen aller Art aus welcher Himmelsrichtung auch immer geschützt wird. IT-Sicherheit und Schutz der IT richtet sich gegen niemanden und schützt alle. Wie oft und mit welchem Grad an Professionalisierung unsere IT-Systeme angegriffen werden, das ist die eine Seite. Entscheidend ist auch die Frage, wo wir durch den allgegenwärtigen Einsatz von IT angreifbar sind oder künftig angreifbar werden und welche Konsequenzen wir daraus ziehen. Neben der schieren Masse an Angriffen und Angriffsvektoren wird nämlich vor allem eines zur zentralen Herausforderung für unsere Gesellschaft: Die zunehmenden digitalen Verwundbarkeiten in allen Bereichen unseres Lebens und Handelns. Bedrohungsszenarien gibt es schon heute viele: Ein Finanzplatz, der wegen eines IT-Fehlers in schwere Turbulenzen gerät, der flächendeckende Ausfall eines Verkehrsleitsystems oder der Zusammenbruch der Wasserversorgung in einer ganzen Region all das ist heute schon Teil unserer Risikoanalyse. Internet der Dinge, Industrie 4.0, smart meter das alles klingt gut und modern und ist wichtig, auch für den Industrie- und Technologiestandort Deutschland. Wenn man sich anschaut, wie abhängig wir binnen weniger Jahre von einzelnen Suchmaschinen und Kommunikationsangeboten geworden sind, muss man kein Prophet sein: In den kom-
- 3 - menden Jahren werden weitere Verwundbarkeiten hinzukommen. Selbstlenkende Autos, eine zunehmend digitalisierte medizinische Versorgung, die stete Verlagerung von Teilen unserer privaten Lebensgestaltung in die digitale Welt sind nur einige Beispiele. Eines ist klar: Eine absolute IT-Sicherheit gibt es nicht, die gibt es nirgendwo, die gibt es auch nicht in der so genannten realen Welt. Deswegen soll das auch niemand versprechen. Aber das heißt nicht, dass wir auf Sicherheitsmaßnahmen aller Art verzichten. Auch das tun wir sonst ja auch nicht. Wir haben gelernt, mit Risiken umzugehen, Sicherheitsmanagement, Risikomanagement zu betreiben, auch mit Unsicherheit leben zu lernen. Wie verwundbar macht uns diese digitale Durchdringung? Sind wir in unserer IT- Sicherheitsarchitektur richtig aufgestellt? Das BSI hat jedenfalls in seinem letzten Bericht zur Lage der IT-Sicherheit eine bemerkenswerte Feststellung gemacht: Digitale Verwundbarkeit trifft vielerorts auf digitale Sorglosigkeit. Ausgangspunkt ist dabei zum einen unser Verhalten generell im Netz. Ich denke zum Beispiel an die inflationäre und geradezu virale Verbreitung privater Fotos im Internet als Teil des öffentlichen Raums. Auch unser Verständnis von Zwischenmenschlichkeit verändert sich. Etwas überspitzt und vielleicht etwas altmodisch formuliert könnte man sagen: Wo früher für eine Freundschaft vertrauensvolle Gespräche erforderlich waren, wo für die Pflege einer Freundschaft das Auge-in-Auge-Gespräch nötig war, genügt heute ein Klick bei Facebook. Wir haben uns daran gewöhnt, dass im Grunde alles im Internet nur einen solchen Klick entfernt und oftmals auch scheinbar kostenlos verfügbar ist. Und wir haben uns daran gewöhnt, über aktuelle Ereignisse und Entwicklungen möglichst schnell quasi live informiert zu werden. Bilder und Inhalte im Netz werden kopiert, verändert und weiterverarbeitet, ohne dass ihr Urheber über sein Gedankengut verfügt hätte. Unser Anspruch an die Richtigkeit und Belastbarkeit von Informationen wandelt sich dabei automatisch. Hierbei entfaltet sich eine Dynamik, die unser Leben an vielen Stellen verändert und oft auch verbessert. Gleichzeitig sollten wir uns aber die Frage stellen, ob unsere Gesellschaft im Netz nicht zu sorglos agiert.
- 4 - Wenn das BSI in seinem Jahresbericht von Digitaler Sorglosigkeit spricht, geht es natürlich auch um harte Fakten, Fragen der IT-Sicherheit es geht um hinreichendes Schutzniveau unserer Systeme und Aktivitäten im Netz. Der Blick der Deutschen auf das Internet und die Digitalisierung hat sich in den letzten Monaten infolge der zahlreichen Medienberichte über großflächigen Diebstahl von Identitäten durch Kriminelle, über kaum reguliertes Datensammeln durch große IT- Konzerne und auch durch die Ausspähung durch Nachrichtendienste aus der ganzen Welt verschlechtert. Aber welche Konsequenzen ziehen die Menschen hieraus? Manche Studien kommen zu dem Ergebnis, dass konkrete Schutzmaßnahmen in der Praxis nur geringfügig häufiger umgesetzt werden als zuvor. Das gilt beispielsweise für die Verbreitung von E-Mail-Verschlüsselung. Lösungen sind am Markt längst verfügbar, entsprechen aber, wie es scheint, oftmals nicht den Erwartungen der Nutzer an Komfort und Beweglichkeit, Bedienbarkeit einfache Bedienbarkeit. Mit jedem Schritt, den ich mehr machen muss, um beispielsweise meine E-Mail zu verschlüsseln, verliert man einen gewissen Prozentsatz Menschen, die bereit sind, diesen Schritt zu gehen. Für die digitale Sorglosigkeit gibt es sicherlich auch weitere Gründe: Das Digitale ist Trendsetter, keiner will zurückbleiben. Das Netz scheint grenzenlos, ihm fehlt es an Haptik. Die Verführung ist groß. Technische Prozesse werden immer undurchschaubarer. Bei den Menschen sorgt teilweise die Technik für ein Gefühl der Überforderung. Dies kann dazu führen, dass man am Ende resigniert und sich gar nicht mehr um seine Sicherheit kümmert. Nach dem Motto: Hat ja alles doch keinen Zweck, ist doch sowieso egal. Hier ist ein Umdenken erforderlich. Nicht nur bei den Nutzern, sondern auch bereits bei der Entwicklung von IT-Produkten. Anfangs waren Computer für Menschen gemacht, die über ein gewisses Maß an Fachwissen verfügten, die programmieren konnten und einen Einblick in technische Abläufe
- 5 - hatten. Das ist heute anders. Moderne Geräte wie Smartphones und Tablets werden in ihrer Entwicklung konsequent vom Nutzer und seinen Anwendungen her entwickelt und gedacht. Der Nutzer einer App sieht regelmäßig nicht, welche Funktionen gerade im Hintergrund einer Anwendung ablaufen. Der Nutzer muss darauf vertrauen, dass die Prozesse sicher gestaltet sind und aufgedeckte Sicherheitslücken schnellstmöglich geschlossen werden. IT-Sicherheit muss daher von Anfang an mitgedacht und über den gesamten Lebenszyklus des Produktes erhalten bleiben. Es geht in diesem Sinne also um IT-Security by design : Leicht gemachte Sicherheit muss deswegen ein Kriterium für gute IT- Sicherheit sein. Was folgt daraus für den Staat? Bei allen technischen Entwicklungen und dadurch entstehenden neuen Bedrohungsszenarien: Die Erwartungshaltung an den Staat durch die Bürgerinnen und Bürger bleibt ziemlich gleich: Auch im Internet soll der Staat eine Schutz- und Gewährleistungsfunktion haben und trägt eine Mitverantwortung für das Internet als Infrastruktur Teil der Daseinsfürsorge. Das Internet sollte für alle zugänglich sein und zuverlässig funktionieren. Fest steht auch: Wenn wir die Chancen des digitalen Wandels für den Einzelnen und die Gesellschaft weiterhin bestmöglich nutzen wollen, benötigen wir einen Ordnungsrahmen. Dieser soll den Schutz der Bürger und ihrer Grundfreiheiten in der digitalisierten Welt sicherstellen und das Vertrauen in den digitalen Wandel stärken. Manche sehen in den althergebrachten Aufgaben des Staates und der neuen, schnellen und glitzernden digitalen Welt einen Widerspruch. Das sehe ich ganz anders. Ob im Privaten, auf der Straße, im Beruf oder eben im Netz. Der Staat hat seine Rolle, seine Mitverantwortung, dafür zu sorgen, dass die Menschen frei und sicher leben können, auf eine Weise, dass kein anderer Schaden nimmt.
- 6 - Der Staat muss also auch wenn Sie so wollen auf den Straßen des Internets für Öffentliche Sicherheit sorgen. Öffentliche Sicherheit meint dabei juristisch gesprochen schon immer die Unversehrtheit der objektiven Rechtsordnung, der subjektiven Rechte und Rechtsgüter des Einzelnen und die Funktionsfähigkeit des Staates. Das mag für einen Digital Native befremdlich altmodisch klingen muss deswegen aber nicht falsch sein. Im Gegenteil! Die Bundesregierung tritt in allen Handlungsfeldern ihrer Digitalen Agenda für ein hohes Niveau an IT-Sicherheit ein. Das betrifft die digitale Wirtschaft und das digitale Arbeiten ebenso wie den innovativen Staat oder die Forschung und Entwicklung. Mit der Cyber-Sicherheitsstrategie hat die Bundesregierung bereits im Jahr 2011 den Grundstein für eine Vielzahl von Maßnahmen gelegt, mit denen wir als Staat schon heute einen signifikanten Beitrag für mehr Sicherheit im Cyber-Raum leisten. Es gilt jedoch, diese Strategie stetig weiterzuentwickeln. Ich möchte einige Beispiele nennen, die wir dabei in den Blick nehmen werden: Eine wichtige Maßnahme der Cyber-Sicherheitsstrategie war die Einrichtung eines Nationalen Cyber-Abwehrzentrums zur Optimierung der operativen Zusammenarbeit aller staatlichen Stellen und zur besseren Koordinierung von Schutz- und Abwehrmaßnahmen gegen IT-Vorfälle. Dieser Schritt war richtig und notwendig. Wir müssen und werden aber in der Arbeit des Cyber-Abwehrzentrums noch besser werden. Die Arbeit unterliegt einem Optimierungsprozess, den wir eingeleitet haben. Als weitere organisatorische Maßnahme haben wir zudem mit dem Cyber-Sicherheitsrat an der Schaltstelle von Politik und Wirtschaft ein hochrangiges Gremium für wichtige strategische Abstimmungen geschaffen. Ich kann mir vorstellen, dem Cyber-Sicherheitsrat in Zukunft eine stärkere Rolle zukommen zu lassen. Als Bundesinnenminister sehe ich es zudem als meine Aufgabe an, das Thema IT- Sicherheit jenseits der Bundesverwaltung auch mit den Ländern weiter voran zu bringen. Mein Eindruck ist, dass wir uns hier noch intensiver abstimmen und die verschiedenen Konzepte ehrlich und ohne Eitelkeiten abgleichen müssen. Das gilt umso mehr, als dass wohl kaum ein Thema so wenig vor Ländergrenzen Halt macht wie die Cybersicherheit. Und nicht zuletzt werden wir vor unserer eigenen Haustür kehren: bei
- 7 - der IT-Sicherheit der Bundesverwaltung. Wir sind hier schon nicht schlecht aufgestellt. Aber auch hier kann man besser werden. Wir werden die Netze des Bundes konsolidieren; das hat Herr Hange eben auch angedeutet. Und ich werde in der morgigen Kabinettsitzung das Konzept für die IT- Konsolidierung des Bundes einbringen. Eine Ende 2013 durchgeführte Bestandsaufnahme hat gezeigt, dass die IT der unmittelbaren Bundesverwaltung mit ihren knapp 200 Behörden auf über 1.300 Rechenzentren und Serverräume an unzähligen Standorten verteilt ist. Aus dieser Zersplitterung resultieren Mängel bei Transparenz und Steuerungsfähigkeit, hohe Kosten durch die mehrfache und parallele Entwicklung von IT-Systemen für gleiche Funktionalitäten und das ist in meinen Augen für unser Thema hier heute am bedrohlichsten erhebliche Risiken für die Sicherheit der IT der Bundesverwaltung und für unsere Arbeit insgesamt, auch durch Abhängigkeiten. Mit dem anstehenden Kabinettbeschluss zur IT-Konsolidierung des Bundes zur Bündelung der Rechenzentren und der IT-Beschaffung leiten wir nun die notwendigen Schritte ein, um unsere IT leistungsfähiger und sicherer zu machen. Zur Umsetzung wird noch im Sommer diesen Jahres ein ressortübergreifendes aus sechs Teilprojekten bestehendes Projekt IT-Konsolidierung Bund eingerichtet und als Gesamtprojektierung bei der Bundesbeauftragten für IT im BMI angesiedelt also bei meinem Haus. Das BMI wird auch für die gesamte Finanzierung, für das Projektbudget verantwortlich sein. Zu Beginn des Jahres 2016 werden bestehende IT-Dienstleistungszentren des BMF, des BMI und des BMVI zu einem Bundesrechenzentrum im Geschäftsbereich des BMF organisatorisch zusammengefasst. In einem zweiten Schritt soll für dieses Bundesrechenzentrum dann eine geeignete Rechtsform geprüft werden. Ein, wie Sie sich denken können, komplizierter Vorgang. Mehrfachentwicklungen von IT-Anwendungen werden wir unter der Federführung des BMI durch gemeinsame Entwicklungen ressortübergreifender IT-Lösungen, wie zum
- 8 - Beispiel der elektronischen Akte, gemeinsamer Personalverwaltungssysteme, gemeinsamer IT-Arbeitsplatzausstattungen, entgegenwirken. Die IT-Beschaffung soll in wenigen Stellen der Bundesverwaltung zusammengeführt werden. Dabei wird dem Beschaffungsamt des BMI eine führende Rolle zukommen. Die Bündelung der Beschaffung vereinfacht die Standardisierung der IT und ermöglicht es uns, signifikante Einsparpotenziale beim Einkauf von IT zu erschließen. Wir werden eine eigene Bundescloud aufbauen, um Leistungsfähigkeit, Flexibilität, Sicherheit und Datenschutz der IT der Bundesverwaltung nachhaltig zu verbessern und ein nationales Vorbild zu schaffen. So reagieren wir auf den Trend, dass immer mehr IT-Firmen ihre Geschäftsmodelle in Richtung Cloud-Computing anpassen und Daten größtenteils nur noch im Internet außerhalb unserer Netze, auch außerhalb unseres Landes für Dienste des Bundes verarbeitet und gespeichert werden. Dem wollen wir mit einer Bundescloud entgegenwirken. Das ist in groben Zügen das, was morgen als Projekt der IT-Konsolidierung unter Federführung des BMI vom Kabinett beschlossen wird. Mit dem IT-Sicherheitsgesetz gehen wir das Thema IT-Sicherheit nun auch gesetzgeberisch an. Herr Hange hat davon gesprochen. Am Anfang gab es viele kritische Stimmen, gerade aus der Wirtschaft. Noch kurz vor dem Jahreswechsel hat die Bundesregierung nun aber als eines der ersten konkreten Vorhaben der Digitalen Agenda ihren Entwurf auf den Weg gebracht, der zurzeit Gegenstand der parlamentarischen Beratungen ist. Ich hoffe, dass er noch vor der Sommerpause vom Deutschen Bundestag verabschiedet werden wird. Die Betreiber Kritischer Infrastrukturen sollen künftig einen Mindeststandard an IT- Sicherheit einhalten und erhebliche IT-Sicherheitsvorfälle an das BSI melden. Das ist natürlich ein heikler Punkt, da ja kein Unternehmen gerne zugibt, dass es Schwachstellen in der eigenen IT-Sicherheit gibt. Aber, diese Meldepflicht ist unsere einzige Chance, wie wir längerfristig unsere Kritischen Infrastrukturen schützen können. Die beim BSI zusammenlaufenden Informationen werden dort ausgewertet und dann anderen vergleichbaren Betreibern Kritischer Infrastrukturen schnellstmöglich zur Verfü-
- 9 - gung gestellt. Dadurch sollen andere Betreiber in die Lage versetzt werden, Maßnahmen zum Schutz ihrer Infrastrukturen zu ergreifen, noch bevor sie möglicherweise selbst Opfer eines entsprechenden Angriffs werden. Und nicht alle diese Meldepflichten müssen oder sollen öffentlich sein. Manchmal haben wir nämlich auch ein Interesse daran, dass diese gerade nicht öffentlich sind, um Angriffen auf vergleichbare Betreiber Kritischer Infrastrukturen vorzubeugen. Das IT-Sicherheitsgesetz sieht ein Wechselspiel zwischen Kritischen Infrastrukturen und Behörden vor. Melden und Warnen, Standards und Sicherungsmaßnahmen entwickeln dies alles geht nur gemeinsam. Wir werden die Umsetzung des Gesetzes in den kommenden Jahren sorgfältig beobachten und ebenfalls evaluieren. Das Gesetz ist sicherlich ein wichtiger und richtiger erster Schritt zur Erhöhung der IT-Sicherheit in unserem Land. Auch die Aufgaben und der Zuschnitt des BSI werden in diesem Kontext ständig fortzuentwickeln sein. Mit dem IT-Sicherheitsgesetz wird es zum zentralen Ansprechpartner für die Betreiber Kritischer Infrastrukturen in Fragen der IT-Sicherheit. Und auch sonst wächst das BSI mit den neuen Herausforderungen im Bereich IT-Sicherheit stetig mit. Es soll und muss die mit der Digitalisierung verbundenen Prozesse in den kommenden Jahren begleiten und damit die digitale Zukunftsfähigkeit unseres Landes aktiv mitgestalten. Das BSI ist und bleibt, lieber Herr Hange, im Geschäftsbereich des BMI gut aufgehoben. Das BSI ist einerseits Sicherheitsbehörde, es ist zuständig für IT-Gefahrenabwehr beim Bund, für Warnungen der Bevölkerung vor IT-Angriffen und erkannten Schwachstellen und untersucht IT-Produkte auf ihre Gefährlichkeit. Bei der Erfüllung dieser Aufgaben wird die Zusammenarbeit mit den klassischen Sicherheitsbehörden immer wichtig sein. Und da muss man sich auch gar nicht für schämen: das ist Teil der Arbeit in der IT-Gefahrenabwehr. Gleichzeitig sind dabei klare Festlegungen und Grenzen erforderlich. Das BSI handelt auf einer klaren gesetzlichen Grundlage. Das BSI ist aber noch viel mehr als Sicherheitsbehörde: Es ist Sachwalter von Datenschutz und Datensicherheit, Zertifizierungsstelle und gibt wichtige IT-Sicherheitshin-
- 10 - weise für die Bürgerinnen und Bürger. Das BSI ist aber vor allem eins: Es ist nicht erst durch das neue IT-Sicherheitsgesetz vertrauensvoller Ansprechpartner und erster Adressat für neue Zusammenarbeitsformen von Staat und Wirtschaft. Die Aufgabenerfüllung des BSI steht und fällt damit, dass ihm die Unternehmen und die Bürgerinnen und Bürger in unserem Land vertrauen. Zum einen kann das BSI oft nur dann konkrete Hilfe leisten, wenn ein Opfer von Cyberattacken den Kontakt zum BSI sucht. Und ohne Vertrauen wird das ein Unternehmen nicht tun. Für ein Unternehmen bedeutet dies oftmals die Preisgabe sensibelster Informationen. Zum anderen sind es oft die Unternehmen, die das BSI überhaupt erst über neue Cyberbedrohungen informieren. Sie sind sozusagen Messfühler an vorderster Front. Im IT-Sicherheitsgesetz nennen wir das kooperativen Ansatz. Die Entwicklung von Mindeststandards, die Ausgestaltung von Prüfsystemen, die Etablierung von Meldewegen all dies wird nach dem IT-Sicherheitsgesetz gemeinsam mit der Wirtschaft erarbeitet werden. Umsetzungsbefugnisse sind im IT-Sicherheitsgesetz vorgesehen aber maßvoll vorgesehen. Wir beschreiten damit in gewisser Weise einen neuen Weg, der vom typischen Regulierungshandwerk mit imperativen behördlichen Vorgaben abweicht. Das IT- Sicherheitsgesetz ist insoweit nicht nur ein besonders notwendiges, sondern auch ein besonders neuartiges Gesetz. Der kooperative Gedanke für die Durchsetzung von mehr IT-Sicherheit in unserem Land ist für mich aber nicht nur auf der gesetzgeberischen Ebene handlungsleitend. Auch untergesetzlich, auch im praktischen Alltag sollten wir neue Zusammenarbeitsformen suchen, bei denen jede Stelle ihre Fähigkeiten einbringen kann. Vertrauen und das wird auch im Internet so bleiben wird vor allem durch Menschen gestiftet. Deswegen nutze ich gerne die Gelegenheit, um mich bei Ihnen Herr Hange, als Präsident, bei Ihnen Herr Könen, als Vizepräsident und bei allen Mitarbeiterinnen und Mitarbeitern des BSI zu bedanken, die diese Vertrauensarbeit jeden Tag leisten. Ohne Sie wären wir lange nicht so weit bei der Durchsetzung von IT-Sicherheit. Und das wird auch so bleiben. * * * * *