Frau Präsidentin! Meine Damen und Herren! Die Cyberbedrohungslage in unserem Land ist anhaltend hoch. Der Bericht zur Lage der IT-Sicherheit 2020 belegt es eindrucksvoll: Die Zahl der Schadprogramme hat die Milliardengrenze überschritten. Täglich gibt es 320 000 neue Schadprogrammversionen. Die Angriffsmethoden werden immer aggressiver, insbesondere durch Erpressung von Beteiligten.
Glücklicherweise ist uns in den letzten Tagen im Kampf gegen die Schadsoftware Emotet ein großer Erfolg gelungen. In der Ukraine konnte ein Tatverdächtiger von Spezialeinheiten in seiner Wohnung festgenommen werden, während er dort am Rechner saß. Der Beschuldigte scheint kooperativ zu sein. Zugangsdaten für die Deaktivierung der Emotet-Infrastruktur konnten erlangt werden. Die infizierten Systeme kommunizieren jetzt nicht mehr mit der Täterinfrastruktur, sondern mit einem BKA-Beweissicherungssystem. Das ist gleichbedeutend mit der erfolgreichen Übernahme und Zerschlagung weiter Teile der Emotet-Infrastruktur. So können wir die Opfer ermitteln, ansprechen und ihnen bei der Bereinigung ihrer Systeme behilflich sein.
Das ist eine wirklich gute Nachricht. Ich bin sehr froh, dass wir dies auch der hervorragenden Arbeit des Bundeskriminalamtes und der Zentralstelle zur Bekämpfung der Internetkriminalität zu verdanken haben, denen ich hier meinen Dank aussprechen möchte.
Emotet zeigt, wie wichtig die IT-Sicherheit für uns alle ist. Das erste IT-Sicherheitsgesetz 2015 war bereits ein wesentlicher Schritt zur Schaffung von mehr Cyber- und IT-Sicherheit in Deutschland. Ein hohes Schutzniveau erfordert aber gerade in diesem Bereich, der sehr dynamisch ist, eine stetige Anpassung an die rasanten technischen Entwicklungen.
Mit dem IT-Sicherheitsgesetz 2.0, das wir heute in erster Lesung beraten, stärken wir den rechtlichen Rahmen und setzen den Koalitionsvertrag um. Der Gesetzentwurf – das möchte ich gleich vorweg sagen – enthält mehr als die ohnehin wichtigen Regelungen zu 5G, nämlich erstens den Schutz der Wirtschaft und der Allgemeinheit durch einen besseren Schutz der kritischen Infrastruktur und kritischer Komponenten und weiterer Unternehmen im öffentlichen Interesse, zweitens den Verbraucherschutz durch das BSI – ein Sicherheitskennzeichen des BSI soll zunehmend die Funktion eines Verbraucherschutzes für alle übernehmen – und drittens den Schutz der Bundesverwaltung durch Kontrolle und Mindeststandards.
Cybersicherheit der oft diskutierten 5G-Mobilfunknetze, das sind die zukünftigen Datenautobahnen; sie bieten zahlreiche Chancen und Anwendungsfelder, etwa bei der Mobilität und bei der Fabrik der Zukunft: Die Absicherung dieser Netze muss daher möglichst umfassend gewährleistet sein. Technische und nichttechnische Risiken wehren wir mit der Umsetzung dieses Gesetzentwurfs ab: Den Netzbetreibern werden hohe Sicherheitsanforderungen vorgegeben. Kritische Komponenten müssen zertifiziert werden. Es gibt künftig ein gesetzliches Verfahren, das die Überprüfung der Vertrauenswürdigkeit der Hersteller ermöglicht und als Ultima Ratio auch eine Ex-ante-Untersagung des Einsatzes bestimmter Komponenten, das heißt: Untersagung vor Einbau.
Das wurde lange diskutiert. Ich bin sehr froh, dass die Bundesregierung dem Parlament diese weitreichenden Vorschläge machen kann.
Neben den kritischen Infrastrukturen sollen jetzt auch Unternehmen erfasst werden, die für unser Leben von zentraler Bedeutung sind – Unternehmen in besonderem öffentlichen Interesse, wie wir sie im Gesetzentwurf nennen –, etwa Unternehmen im Rüstungsbereich, aber auch Unternehmen, die besondere Bedeutung für die Volkswirtschaft haben. Beispiel: Bei einem großen deutschen Autobauer stehen aufgrund einer Cyberattacke zwei Wochen lang die Fließbänder still. Das hat natürlich auch gesamtwirtschaftliche Bedeutung.
Vertrauen, meine Damen und Herren, ist eine Schlüsselressource in der Cybersicherheit. Unternehmen sollen in einer vertrauensvollen Zusammenarbeit mit dem BSI auf mehr Sicherheit hinwirken: durch bessere Information, Austausch relevanter Erkennungsmuster für Systeme und überhaupt – viele erkennen die Angriffe gar nicht – zur Angriffserkennung. Risiken bestehen zunehmend auch in Verbraucherhaushalten, zum Beispiel durch die Vernetzung von Geräten – „Internet der Dinge“ als Stichwort, „der smarte Kühlschrank“ als weiteres Stichwort. Mehr Vernetzung bedeutet nämlich mehr Risiken, etwa weil Geräte zu Botnetzen zusammengeschaltet werden.
Verbraucherschutz wird im Aufgabenkatalog unserer Bundesoberbehörde BSI verankert. Verbraucher sollen von dem freiwilligen IT-Sicherheitskennzeichen profitieren, das die IT-Sicherheit eines Produktes für den Verbraucher sichtbar macht und auf das er sich auch verlassen kann. Beim Kauf beispielsweise eines smarten Kühlschranks soll der Verbraucher also nicht nur den Energieverbrauch am Energielabel sehen können, sondern auch die enthaltenen Cybersicherheitsfunktionen.
Schließlich und letztens noch der Schutz der Bundesverwaltung, ein ganz wichtiger Punkt. Wir konnten bisher alle Angriffe abwehren. Das zeigt auch das hohe Niveau unserer Bundesbehörden. Das soll jetzt durch dieses Gesetz noch stärker gestaltet werden.
Ich möchte abschließend sagen: Die letzten Monate in der Pandemie haben uns allen deutlich vor Augen geführt, wie wichtig IT-Sicherheit ist, wie wichtig aber auch die Nutzung von IT anstelle der Zettelwirtschaft ist und dass dieser Digitalisierungsschub, der jetzt eingetreten ist, mit mehr Sicherheit verbunden wird. Mehr Nutzung braucht auch mehr Sicherheit. Deshalb gibt es dieses Sicherheitsgesetz 2.0. Ich bitte um Ihre Unterstützung und schließlich dann auch um eine rechtzeitige Verabschiedung dieses wichtigen Gesetzes.