Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Meine Damen und Herren! Zunächst einmal: Lieber Kollege Baldy – wir duzen uns ja eigentlich –, du hast das mit den Fußballvergleichen hier sehr auf die Spitze getrieben. Das gibt mir aber die Gelegenheit, darüber zu reden, dass ich versucht hatte, Deniz Undav hier in die Rede einzubauen. Und dank deiner Steilvorlage habe ich es hiermit geschafft.
Aber nun zum Thema. Sehr gute Sicherheit – gerade im Cyberraum – ist sehr entscheidend. Und vor allem entscheidet sie darüber, ob im Krankenhaus die Geräte laufen, ob der Notruf erreichbar ist, ob die Bahn fährt, ob die Stromversorgung auch wirklich stabil bleibt. Doch das Innenministerium lässt mit diesem Gesetzentwurf leider ganz zentrale Fragen unbeantwortet. Das ist nicht gut genug.
Deutschland braucht dringend mehr Cybersicherheit. Wir müssen unsere Freiheit und Demokratie schützen. Wir müssen wehrhaft sein. Doch bei Gesetzen an der Schnittstelle von Innen- und Digitalpolitik zeigt sich immer wieder dasselbe Problem: Das Innenministerium fremdelt allein schon mit der digitalen Bedrohungslage.
Bislang war der Staat im Cyberraum vor allem Verteidiger. Künftig soll er selbst aktiv in fremde IT-Systeme eindringen, Daten verändern, löschen oder den Datenverkehr umleiten. Das ist einfach eine völlig neue Qualität, und die steht mit diesem Entwurf nicht auf rechtssicheren Füßen.
Stellen wir uns vor, morgen wird ein schwerer Cyberangriff in Europa verübt. Betroffen sind eine Bundesbehörde, zum Beispiel das BAMF, ein großer Flughafen, vielleicht in München, und Teile der kritischen Infrastruktur, vielleicht die Deutsche Bahn. Und dann heißt es, es muss sofort gehandelt werden: Datenverkehr umleiten, Server abschalten, in Systeme eingreifen. So will es der Gesetzentwurf.
Doch wer macht das dann eigentlich: das BKA, die Bundespolizei, das BSI? Dieser Gesetzentwurf gibt mehreren Behörden weitreichende Eingriffsbefugnisse. Aber die entscheidenden Fragen beantwortet er nicht. Wer hat im Ernstfall das Sagen? Wer entscheidet? Wer trägt die Verantwortung, wenn aufgrund einer fehlerhaften Zuschreibung – und das ist nicht unwahrscheinlich – nicht der Angreifer, sondern der Server eines Krankenhauses oder einer anderen KRITIS-Anlage getroffen wird? All das ist offen, weil Sie mit dem Gesetz für doppelte Arbeit sorgen. Diese unklaren Zuständigkeiten sorgen für Koordinationsprobleme, kosten in einer Krisensituation Zeit, und obendrein entsteht eine Konkurrenz beim Angriff von Zielsystemen.
Wie darf man sich das in der Praxis vorstellen, wenn BKA und Bundespolizei gleichzeitig auf demselben fremden Server landen? Begrüßen sie sich dann einfach: „Ach, Sie sind auch schon hier?“ – Da muss die Frage nach der Zuständigkeit geklärt werden, und Sie schaffen hiermit ein ernstzunehmendes Sicherheitsrisiko.
Es ist einfach nicht klar, wer was macht. Die Befugnisse müssen bei dieser Tragweite aber eindeutig sein: Welche Behörde führt? Welche Behörde entscheidet? Welche Behörde trägt die Verantwortung? Bevor neue Knöpfe verteilt werden, muss eindeutig geregelt sein, wer sie überhaupt drücken darf. Diese Fragen werden schon seit Jahren im Land diskutiert. Der vorliegende Gesetzentwurf vermag es aber nicht, genau diese wichtigen Fragen zu beantworten, und das ist fatal.
Das ist eine Gesetzgebung im Risikoflug. Sie lässt erhebliche Gefahren offen, scheitert in der Praxis und landet möglicherweise vor Gericht. Ich weiß, Herr Dobrindt, mit Ihrer Grenzpolitik haben Sie es sich ja schon zum Hobby gemacht, vor Gerichten zu scheitern, aber vielleicht fangen Sie einmal an, beim Thema Cybersicherheit auf Rechtstaatlichkeit zu achten und auch solche Themen ernst zu nehmen. Das wäre mein Ratschlag an dieser Stelle.
Also: Es gibt viel zu tun im Bereich der hybriden Bedrohung. Man kann sich auch wundern, warum die Bundesregierung in diesem Bereich die Mittel im europäischen Haushalt kürzen möchte. All das ist offen. Auch die Nachrichtendienstreform wird vom Bundesinnenminister höchstpersönlich ausgebremst. Das heißt, das Thema Sicherheit ist in seinen guten Händen, –