Sehr geehrte Frau Präsidentin! Meine Damen und Herren! Ich wurde gestern darauf angesprochen, dass wir heute über das IT-Sicherheitsgesetz 2.0 entscheiden. Man könnte fast den Eindruck haben – so lange reden wir schon darüber –, es läge jetzt etwas zum Beschließen vor. Dabei ist es erst jetzt endlich eingebracht. Man könnte meinen: Was lange währt, wird endlich gut. – Hm, ja, Sie haben richtig gesagt, Herr Innenminister: „Die Cybersicherheit ist die Achillesferse der modernen Gesellschaft“, der Informationsgesellschaft; so würde ich sie nennen. Deshalb ist Cybersicherheit auch wirklich wichtig. Aber so richtig gut finden wir Freie Demokraten an vielen Stellen das IT-Sicherheitsgesetz nicht. Vor allen Dingen fehlen einige wesentliche Dinge, und auf die möchte ich jetzt gerne eingehen.
Drei Punkte habe ich mir herausgesucht; es gibt noch mehr.
Erster Punkt. Ich kann es wirklich nicht verstehen: Sie haben es nach so langer Zeit nicht geschafft, ein echtes Schwachstellenmanagement in einem IT-Sicherheitsgesetz zu verankern. Es geht doch darum, dass neben einer Meldepflicht zum Beispiel auch ein Rückkanal aufgebaut wird, dass die Unternehmen auch etwas zurückkriegen, informiert werden. Außerdem – das fordern wir Freie Demokraten schon lange – müssen alle staatlichen Stellen Sicherheitslücken und Schwachstellen in der Software dem BSI melden. Diese müssen auch den Herstellern gemeldet und zeitnah geschlossen, ansonsten veröffentlicht werden. Das ist der einzige Weg, Cybersicherheit herzustellen, wenn Sie es wirklich ernst nehmen, Herr Minister.
Zum IT-Sicherheitskennzeichen. Ich würde mal sagen, ich nenne es gerne auch „Aufkleber auf Software“. Lassen Sie das kurz mal wirken! Alles, was wir haben, auch die Hardware, wird mit Patches und Updates permanent bespielt. Die Sicherheitslücken entstehen ja gerade dann – das haben wir bei aktuellen Sicherheitsvorfällen wieder gemerkt –, wenn diese Patches Schadsoftware enthalten. Deswegen reicht es eben nicht, dass Sie ein freiwilliges Sicherheitskennzeichen machen, mit dem gesagt wird: Es wird schon alles gut. – Haben Sie doch mal den Mut, eine Produkthaftung für diese Hersteller einzuführen, sodass sie am Ende, wenn sie grob fahrlässig, obwohl sie es zugesagt haben, keine Updates und keine Patches aufspielen, eben auch für den Schaden haften. Das wäre etwas, was die Cybersicherheit voranbringen würde, meine Damen und Herren.
Zuletzt zum BSI. Sie haben uns auf Ihrer Seite, wenn Sie das BSI zu einer der zentralen Cybersicherheitsstellen in Deutschland ausbauen wollen. Sie haben in den letzten fünf Jahren den Personalaufwuchs dort massiv zu Recht vorangetrieben. Sie haben das Personal in den letzten fünf Jahren verdoppelt, wenn ich es richtig im Kopf habe. Aber das BSI gerät zunehmend in die Schere zwischen dem Schließen von Sicherheitslücken und – in Ihrem Haus, Herr Minister – dem Offenhalten von Sicherheitslücken,
um Staatstrojaner, Onlinedurchsuchungen etc. weiter durchsetzen zu können. Es spielt keine Rolle, ob Sie das „Backdoor“ oder „Frontdoor“ nennen; am Ende geht es darum, dass dies nicht der Cybersicherheit dient. Nehmen Sie das BSI endlich aus dem BMI raus! Wir würden vorschlagen – Sie wissen das –, Sie unterstellen es einem Digitalministerium. Da gehört es hin; da sind die Nerds unter sich und können die Cybersicherheit am Ende gewährleisten.
Meine Damen und Herren, wir Freie Demokraten werden das IT-Sicherheitsgesetz positiv begleiten. Sie werden eine große Anzahl von Änderungsanträgen von uns bekommen. Schreiben Sie sie ab, fügen Sie sie ein, damit das IT-Sicherheitsgesetz am Ende so gut wird, dass die Dinge, die fehlen, auch noch drin sind!
Herzlichen Dank für Ihre Aufmerksamkeit.