Cybersicherheitsstrategie 2021: Offener Brief an die deutsche Bundesregierung

Die UVN und Niedersachsen.digital fordern gemeinsam mit Vertretern aus Industrie, Organisationen, Verbänden, Politik, Wirtschaft, Wissenschaft und Zivilgesellschaft nachdrücklich die Vertagung der Verabschiedung der „Cybersicherheitsstrategie 2021“ oder die Streichung der Ausweitung der Befugnisse für die Sicherheitsbehörden.

Die Bundesregierung plant wenige Monate vor der Bundestagswahl die Verabschiedung der „Cybersicherheitsstrategie für Deutschland 2021“. Die UVN und niedersachsen.digital gehören zu den Unterzeichnern eines offenen Briefes an die Bundesregierung.

Die süddeutsche Zeitung berichtet in Ihrem Beitrag vom 25.06. ebenfalls über die Aktion.

Der Brief zur Cybersicherheitsstrategie 2021 im originalen Wortlaut

„Sehr geehrte Damen und Herren,
die Bundesregierung plant wenige Monate vor der Bundestagswahl die Verabschiedung der „Cybersicherheitsstrategie für Deutschland 2021“. Diese Strategie ist von enormer Bedeutung, weil sie für Jahre die Weichen stellt, wie der Staat die Cybersicherheit in Deutschland gewährleistet, welche Verpflichtungen auf Unternehmen zukommen und welchen Schutz Bürger:innen erhalten.

Die Unterzeichnenden fordern die Bundesregierung dazu auf, die Verabschiedung der Cybersicherheitsstrategie auf die nächste Legislatur zu vertagen oder zumindest die Ausweitung der Befugnisse für die Sicherheitsbehörden ersatzlos zu streichen. Entscheidende Teile der Strategie sind bereits seit langem innerhalb der Bundesregierung hochumstritten und erhalten massive Kritik durch Vertreter:innen der deutschen Industrie, Wissenschaft und der Zivilgesellschaft. Sollte die Strategie in ihrer jetzigen Form verabschiedet werden, würde dies auf Jahre eine Cybersicherheitspolitik zementieren, für die es keinen ausreichenden Rückhalt in Wirtschaft und Gesellschaft gibt und deren Maßnahmen wenig Aussicht darauf haben, die IT- und Cybersicherheit in Deutschland zu verbessern. Die Grabenkämpfe um die Ausrichtung der nationalen Cybersicherheitspolitik würden so fortgeführt – zu Lasten der Sicherheit in Deutschland.

Im aktuellen Entwurf der Cybersicherheitsstrategie finden sich eine Reihe an Maßnahmen, die auf Kosten der IT- Sicherheit die Überwachung durch deutsche Sicherheitsbehörden vorantreiben. Dazu gehört zum Beispiel die „Entwicklung technischer und operativer Lösungen für den rechtmäßigen Zugang zu Inhalten aus verschlüsselter Kommunikation […]”, die Umgehung von sicherer Implementierung starker Verschlüsselung (lies: Hintertüren). Es handelt sich hierbei um eine Maßnahme, gegen die sich die deutsche Industrie, Wissenschaft, Zivilgesellschaft und Politik bereits 2019 in einem Offenen Brief ausgesprochen hat, weil sie ausländischen Nachrichtendiensten und Cyberkriminellen mehr nutzen würde als unseren Sicherheitsbehörden. Hinzu kommen die internationale Signalwirkung und die Auswirkungen für besonders schutzbedürftige Bevölkerungsgruppen, die so ein Vorhaben hätte. Weiterhin fordert die Cybersicherheitsstrategie unter anderem Befugnisse zur aktiven Cyberabwehr; eine Maßnahme die so umstritten ist, dass sich sogar die aktuelle Bundesregierung selbst dagegen entschieden hat sie voranzutreiben. Es handelt sich hierbei nicht etwa um eine minimale Befugniserweiterung, sondern um ein Legislativvorhaben, welches sehr wahrscheinlich in einer Grundgesetzänderung münden wird. Es ist damit definitiv ein Vorhaben, über dessen Platz in einer Strategie eine neue Bundesregierung entscheiden sollte. Ein weiteres Problemfeld wird durch den geplanten Ausbau der Zentralstelle für Informationstechnik im Sicherheitsbereich (ZITiS) verdeutlicht: fehlende Kontroll- und Schutzmaßnahmen. Es gibt seit Jahren eine Kontroverse darüber, ob die „Hackerbehörde“ aufgrund ihrer Aufgaben statt eines Ministererlasses mit einem Errichtungsgesetz auf solide rechtliche Grundlage gestellt werden sollte, auch wenn es rechtlich nicht zwingend notwendig ist. Hierzu findet sich in der Strategie kein Wort.
Dieser Punkt zieht sich wie ein roter Faden durch die Strategie. Denn überhaupt fehlt der Strategie die im Koalitionsvertrag versprochene „gleichzeitige und entsprechende Ausweitung der parlamentarischen Kontrolle“ sowie die wirksame juristische und administrative Kontrolle, bei Ausweitung der Befugnisse der Sicherheitsbehörden. Dass die Bundes- und Landesregierungen statt dem Ausbau der Überwachungsbefugnisse die Kontroll- und Schutzmaßnahmen stärken müssten, zeigte jüngst der Skandal um die Datensammlung von Politiker:innen durch den Verfassungsschutz in Sachsen.

Dies stellt nur eine kleine Auswahl der problematischen Maßnahmen dar, die auf den über 120 Seiten, vor allem im Kapitel 8.3 der Strategie genannt werden.
Erschwerend kommt hinzu, dass die Bundesregierung erstmals Maßnahmen zum Controlling in eine Cybersicherheitsstrategie integrieren möchte. Was an sich eine begrüßenswerte Maßnahme ist, wird dadurch höchst problematisch, dass sich die aktuelle Bundesregierung daran nicht mehr halten muss, sondern es der kommenden Bundesregierung auferlegt. Ein Vertrag zu Lasten Dritter.

Im Namen guter Regierungsführung und effektiver IT- und Cybersicherheitspolitik fordern die Unterzeichnenden die Bundesregierung dazu auf alle Maßnahmen, die den Ausbau von Überwachungsbefugnissen statt der Stärkung der IT-Sicherheit zum Ziel haben ersatzlos zu streichen – im aktuellen Entwurf vom 9. Juni 2021 betrifft das mindestens die Maßnahmen 8.3.1, 8.3.7, 8.3.8, 8.3.9, 8.3.11, 8.3.12, 8.3.14, 8.4.7.“

Unterzeichnende Industrie, Organisationen und Verbände

1. Adacor Hosting GmbH
2. AG KRITIS
3. Arbeitskreis Soziale Bewegungen und Polizei des Instituts für Protest- und Bewegungsforschung
4. AStA TU Berlin
5. Bits & Bäume Berlin
6. Boxcryptor
7. cnetz – Verein für Netzpolitik e. V.
8. Chaos Computer Club e. V.
9. Chaos Computer Club Darmstadt e. V.
10. Cryptomator
11. D64 – Zentrum für digitalen Fortschritt e. V.
12. Digitalcourage e.V.
13. Digitale Gesellschaft e.V.
14. eco Verband der Internetwirtschaft e. V.
15. EnjoyVenture Management GmbH
16. European Society for Digital Sovereignty e. V.
17. Feilner-IT
18. FlokiNET Ehf
19. Forschungsnetzwerk Sicherheit & Polizei
20. Forschungsverbund Naturwissenschaft, Abrüstung und internationale Sicherheit (FONAS) e. V.
21. Forum Informatiker:innen für Frieden und gesellschaftliche Verantwortung e. V.
22. Freiburger Institut für angewandte Sozialwissenschaft e. V.
23. Gesellschaft für Informatik e. V.
24. JP Berlin
25. Koordinierungskreis des Netzwerks für Gute Arbeit in der Wissenschaft
26. LOAD e. V. – Verein für liberale Netzpolitik
27. mail.de GmbH
28. mailbox.org
29. mediaTest digital GmbH
30. Netzwerk Datenschutzexpertise
31. Niedersachsen.digital e. V.
32. Reporter ohne Grenzen e. V.
33. SaveTheInternet
34. SerNet GmbH
35. Stiftung Neue Verantwortung e. V.
36. Tutao GmbH
37. Unternehmerverbände Niedersachsen e. V.
38. Wikimedia Deutschland e. V.

Unterzeichnende Vertreter:innen* aus Politik, Wirtschaft, Wissenschaft und Zivilgesellschaft

1. Stefan Muhle, Staatssekretär im Niedersächsischen Ministerium für Wirtschaft, Arbeit, Verkehr und Digitalisierung
2. Prof. Dr. Clemens Arzt, Hochschule für Wirtschaft und Recht Berlin*
3. Alexander Couzens, Informatiker*
4. Prof. Dr. Eric Bodden, Universität Paderborn und Fraunhofer IEM*
5. Karoline Busse, Niedersächsisches Studieninstitut für kommunale Verwaltung e. V.*
6. Dr.-Ing. Tobias Fiebig, Technische Universität Delft*
7. Dr. Friederike von Franqué, wissenschaftliche Beraterin*
8. Dr. Michael Friedewald, Forum Privatheit*
9. Dr.-Ing. Kai Gellert, Bergische Universität Wuppertal*
10. Prof. Dr. Steffen Großmann, Großmann & Köhn Unternehmensberatung*
11. Dr. Daniel Guagnin, VDI/VDE-IT*
12. Dipl.-Ing. Markus Ihle, Abteilungsleiter IT-Sicherheit*
13. Dipl. Wirt.-Inf. Oliver Jaeckel-Bender
14. Prof. Dr. Tibor Jager, Bergische Universität Wuppertal, Lehrstuhl für IT Security and Cryptography*
15. Frank Knischewski, DTS Systeme GmbH* und Vizepräsident von Niedersachsen.digital*
16. Prof. Dr. Anja Lehmann, Hasso-Plattner-Institut*
17. Peter Leppelt, Mitglied des digitalRat.niedersachsen*
18. Michael Lohmann, bevutaIT*
19. Daniel Maslowski, LABOR e. V. Bochum*
20. Staatssekretär für Digitalisierung Stefan Muhle, Niedersächsisches Ministerium für Wirtschaft, Arbeit,
    Verkehr und Digitalisierung*
21. Britta Müller, Stadt Wuppertal*
22. Michael Niewöhner, IT Security Consultant*
23. Dipl. Inf. Thomas Reinhold, Informatik, Wissenschaft und Technik für Frieden und Sicherheit, TU
    Darmstadt*
24. Prof. Dr. Konrad Rieck, Technische Universität Braunschweig*
25. Karsten Rohrbach, Experte für Application Security*
26. Folker Schmidt, c-base*
27. PD Dr. Jan-Felix Schrape, Universität Stuttgart*
28. Prof. Dr. Dominique Schröder, Lehrstuhl für Angewandte Kryptographie, Friedrich-Alexander-
    Universität Erlangen-Nürnberg*
29. Dr. Matthias Schulze, Stiftung Wissenschaft und Politik*
30. Prof. Peter Schwabe, Max Planck Institute for Security and Privacy*
31. Manuel Soler Hahn, Geraffel*
32. Dr. Dr. Peter Ullrich, TU Berlin, Zentrum Technik und Gesellschaft* und Netzwerk für Gute Arbeit in
    der Wissenschaft*
33. Prof. Dr. Nils Zurawski, Surveillance Studies Forschungsnetzwerk, Universität Hamburg*

*Zugehörigkeiten dienen ausschließlich der besseren Zuordnung.