IT-Sicherheitsgesetz: Webshops müssen reagieren

Mit dem sogenannten IT-Sicherheitsgesetz, dessen Entwurf am Mittwoch vom Bundeskabinett beschlossen wurde, sollen vor allem kritische Infrastrukturen von Krankenhäusern, Banken oder Energieversorgen besser geschützt werden. Diese müssen nun Mindeststandards für die Sicherheit ihrer IT-Systeme festlegen, und sich besser vor Cyberangriffen zu schützen. Das Gesetz soll im zweiten Halbjahr 2015 in Kraft treten.

Die Regelung betrifft indes auch kommerzielle Betreiber von Internetseiten – wie solche von Webshops. Sie sie werden nach dem Gesetz ebenfalls dazu angehalten, ihre Angebote nach dem aktuellen Stand der Technik zu sichern. So soll verhindert werden, dass sich Nutzer beim Surfen mit Computerviren oder Trojanern infizieren.

Thomas de Maiziére (CDU) sagte bei der Vorstellung des Gesetzes, damit würden Regeln aus der traditionellen Wirtschaft auf das Internet übertragen. „Wir verlangen von einem Supermarkt auch, das er, wenn es friert, vor der Haustür streut“, so der Bundesinnenminister. Im Grunde würden mit dem Gesetz nur die Standards nachgeholt, die es sonst im Wirtschaftsleben längst gebe.

Allerdings hinterlässt der Entwurf, der grundsätzlich von der IT-Wirtschaft laut Bitkom begrüßt wurde, auch noch eine ganze Reihe offener Fragen. So heißt es beispielsweise, die Vorkehrungen zur IT-Sicherheit müssten „den Stand der Technik berücksichtigen“ und „wirtschaftlich zumutbar sein“. Formulierungen, die viel Spielraum zur Interpretation geben.

Unklar ist darüber hinaus, ob und wie die Behörden das Einhalten der Vorschriften prüfen wollen. Und was geschieht, wenn eine Installation nicht den Vorgaben entspricht? Auch dies wird in dem Entwurf noch nicht abschließend geklärt.

Positiv bewertet der Bitkom indes die Möglichkeit, dass Betreiber kritischer Infrastrukturen und andere Unternehmen Meldungen schwerwiegender Sicherheitsvorfälle in anonymisierter Form an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden können. Damit würden Rufschädigungen vermieden und zugleich die Kooperationsbereitschaft gesteigert.

Der Verband der deutschen Internetwirtschaft Eco wiederum sieht noch offene Fragen beim Zusammenspiel mit der geplanten EU-Richtlinie zur Netzwerk- und Informationssicherheit. Ein „Vorpreschen“ der Bundesregierung begünstige einen Flickenteppich nationaler Regeln.