Deutsche Cybersicherheitsstrategie im Diskurs: Anforderungen und Impulse aus Europa

Der aktuelle Bericht zur IT-Sicherheitslage in Deutschland¹ zeichnet ein besorgniserregendes Bild der Cybersicherheit: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert täglich etwa 250.000 neue Schadprogramm-Varianten und 21.000 infizierte Systeme. Im Durchschnitt treten täglich 70 neue Sicherheitslücken auf, von denen die Hälfte als hoch oder kritisch eingestuft wird, eine Steigerung um 24 Prozent im Vergleich zum Vorjahr. Ransomware-Angriffe verursachen erhebliche wirtschaftliche Schäden und beeinträchtigen ganze Wertschöpfungsketten, insbesondere für kleine und mittlere Unternehmen sowie Kommunen. Datendiebstähle prägen die Gefährdungslage für Verbraucher, oft in Verbindung mit Ransomware-Angriffen zur Erpressung.

Bundesinnenministerin Nancy Faeser betonte die entscheidende Rolle der Cybersicherheit für die Gesellschaft und befürwortet angesichts der wachsenden Cyberkriminalität und der sich vollziehenden Zeitenwende eine strategische Neuausrichtung.²

Das vorliegende VDI Research Paper ordnet den Sachstand zur Deutschen Cybersicherheitsstrategie vor dem Hintergrund der europäischen Informationssicherheits-Richtlinien ein und gibt Impulse im Diskurs zu deren Weiterentwicklung.

Im September 2021, kurz vor der Bundestagswahl, verabschiedete die alte Bundesregierung die „Cybersicherheitsstrategie für Deutschland 2021“, die als Fortführung der 2016 veröffentlichten Strategie fungiert und einen neuen, ressortübergreifenden strategischen Rahmen bis 2026 setzt.

Diese Strategie ist entstanden aus einem Evaluierungs- und Fortschreibungsprozess unter Beteiligung von über 70 Akteuren aus verschiedenen Bereichen der Gesellschaft. Sie skizziert die grundlegende, langfristige Ausrichtung der Cybersicherheitspolitik in Deutschland durch Leitlinien, Handlungsfelder und strategische Ziele. Hierbei soll eine effektive Zusammenarbeit aller Akteure ermöglicht werden.³

Kritiker, darunter Verbände und Wissenschaftler, bezweifelten frühzeitig, ob die Ziele der Strategie unter einer neuen Regierung umsetzbar seien. Kritisiert wurde insbesondere der geplante Ausbau geheimdienstlicher Befugnisse und die Offenhaltung von Sicherheitslücken zu Überwachungszwecken.⁴ Auch vernachlässige die Strategie den EU-Kontext und fokussiere sich hauptsächlich auf innenpolitische Aspekte. Dies stehe im Kontrast zu globalen Herausforderungen im Cybersicherheitsbereich. Die Einbindung internationaler Expertise sei ein Schlüsselfaktor für eine erfolgreiche Sicherheitsstrategie im zunehmend komplexen geopolitischen Umfeld.

Gegenwärtig befindet sich die Cybersicherheitsstrategie in einer Weiterentwicklung, um die Vorgaben des aktuellen Koalitionsvertrags umzusetzen.¹¹ Bundesinnenministerin Nancy Faeser präsentierte im Juli 2022 die „Cybersicherheitsagenda“¹² Deutschlands mit dem Ziel, die Sicherheit von IT-Infrastrukturen zu gewährleisten und effektiv gegen Cyberangriffe und ‑kriminalität vorzugehen. Die neue Agenda umfasst die Schaffung einer modernen Cybersicherheitsarchitektur, die das BSI zu einer zentralen Anlaufstelle ausbaut und das Nationale Cyberabwehrzentrum sowie den Nationalen Cyber-Sicherheitsrat stärkt und darüber hinaus eine entsprechende Kommunikationsplattform beim BSI etabliert.

Das Bundesinnenministeriums hat im Juni 2023 einen Referentenentwurffür ein Gesetz zur Umsetzung von NIS-2 (NIS2UmsuCG)¹³ und im September 2023 ein Diskussionspapier¹⁴ vorgelegt, die beide darauf abzielen, die bestehenden Steuerungsinstrumente für das Informationssicherheitsmanagement in der Bundesverwaltung zu verstärken und den Sicherheitsrahmen für kritische Anlagen und Unternehmen zu erweitern: Durch die Umsetzung der NIS-2-Richtlinie sollen neue Kategorien von Einrichtungen festgelegt werden, die erweiterten Anforderungen unterliegen.

Eine wesentliche Neuerung von NIS-2 besteht darin, dass die Definition sogenannter „kritischer Dienste“ präzisiert und erweitert wird. Es wird nun zwischen „wesentlichen Einrichtungen“ und „wichtigen Einrichtungen“ unterschieden.¹⁵ Neben einer Meldepflicht für Sicherheitsvorfälle sieht NIS-2 auch eine Erhöhung der Sanktionen vor. Unternehmen, die den Vorgaben nicht nachkommen, können mit Bußgeldern belegt werden. In Deutschland allein sind etwa 30.000 Unternehmen von den Anforderungen der NIS-2 betroffen.

In Summe ergibt sich also, dass das BSI erweiterte Kompetenzen für Aufsichtsmaßnahmen erhalten wird und wesentliche nationale Anforderungen an das Informationssicherheitsmanagement des Bundes gesetzlich verankert werden.¹⁶

Auf dem Berliner Cybersicherheitsgipfel des Nationalen Cyber-Sicherheitsrats der Bundesregierung¹⁷ wurde Ende November 2023 über die demokratische Legitimation und Kontrolle von Macht im digitalen Raum diskutiert. Dabei war es Tenor, dass europäische Staaten angesichts eines globalen Bedrohungsumfelds vor vergleichbaren Herausforderungen bei der Entwicklung und Umsetzung ihrer Cybersicherheitsstrategien stehen.¹⁸ Diese Herausforderungen umfassen die vertikale Integration in den Rahmen nationaler Sicherheit, die horizontale Koordination verschiedener Stellen, die Förderung internationaler Zusammenarbeit, den Aufbau solider Krisenmanagementstrukturen, das Erstellen zuverlässiger Bedrohungsanalysen, den Ausbau von Kapazitäten und Bildungsangeboten, die Schaffung eines kooperativen Rahmens mit der Privatwirtschaft sowie eine Harmonisierung der Gesetzgebung zur Bekämpfung von Cyberkriminalität.

Insgesamt zeigt sich Deutschland angesichts der aktuellen Herausforderungen entschlossen, seine Cybersicherheitsstrategie zu stärken und durch eine breite Palette von Maßnahmen auf nationaler und europäischer Ebene auf die wachsenden Cyberbedrohungen zu reagieren.

Durch die Umsetzung des NIS2UmsuCG positioniert sich Deutschland als Vorreiter in der fristgerechten Umsetzung der NIS-2-Richtlinie.Bleibt zu wünschen, dass die neue Deutsche Cybersicherheitsstrategie auch eine verstärkte länderübergreifende Cyberkriminalitätsbekämpfung vorsieht, denn angesichts der grenzüberschreitenden Natur von Cyberbedrohungen ist eine koordinierte – zumindest europäische – Antwort unerlässlich.