Sehr geehrter Herr Präsident! Liebe Kolleginnen. Liebe Kollegen! Herr Jünger, Sie haben es tatsächlich geschafft, exakt das zu sagen, was das Gegenteil der Rede Ihres Kollegen ist. Das muss man erst mal schaffen, in zwei Reden exakt gegenteilige Positionen zu vertreten.
Ein Satz noch zu Frau Vogtschmidt: Sie sprechen sechs Minuten an diesem Pult
und sagen keinen einzigen Satz dazu, wie wir die Cybersicherheit in unserem Land tatsächlich stärken wollen.
Herr Dobrindt, ich gebe Ihnen recht: Wir werden angegriffen, jeden Tag – nicht sichtbar, nicht mit Panzern, nicht mit Raketen, sondern mit Schadsoftware, mit Erpressungsangriffen, mit digitalen Attacken auf Unternehmen, auf Behörden, auf unsere Infrastrukturen. Ja, die Schäden belaufen sich mittlerweile auf fast 200 Milliarden Euro pro Jahr. Das sind 200 Milliarden Euro, die unserer Wirtschaft fehlen, 200 Milliarden Euro, die wir nicht investieren können, 200 Milliarden Euro, weil ein Cyberangriff erfolgreich war.
Ich glaube, es ist unsere Aufgabe, zu sagen, dass dies nicht nur abstrakte Zahlen sind. Es geht um stillstehende Produktionsanlagen, gesperrte Rathäuser, es geht um geschlossene Krankenhäuser und am Ende um ganz viel Verunsicherung. Deswegen wird es die politische Aufgabe sein, noch mal klarzustellen: Cybersicherheit ist kein Nischenthema. Sie ist die zentrale Frage unserer wirtschaftlichen Stärke, unserer staatlichen Handlungsfähigkeit und am Ende auch eine Frage unserer nationalen Sicherheit.
Deswegen begrüße ich es ausdrücklich, dass die Bundesregierung diesen Gesetzentwurf vorlegt. Herr Dobrindt, Sie haben als BMI Cybersicherheit als absolute Priorität erkannt und auch benannt. Dafür bin ich Ihnen dankbar.
Ein großer Pluspunkt Ihres Entwurfs ist insbesondere die Stärkung des Bundesamts für Sicherheit in der Informationstechnik. Wir brauchen ein starkes BSI. Wir brauchen auch die Fähigkeit, Angriffe zu erkennen, sie abzuwehren und am Ende auch auszuwerten. Auch das angelegte Lagebild, um Bedrohungen zum richtigen Zeitpunkt mit den richtigen Schritten zu erkennen, ist ein sehr großer Pluspunkt. Ich glaube, die letzten Jahre haben eines gezeigt: Wer Angriffe wirksam abwehren will, der muss die Bedrohungen erkennen, bevor sie einen Schaden anrichten.
Liebe Kolleginnen, liebe Kollegen, lassen Sie mich noch zwei Gedanken in diese Diskussion einbringen; denn ja, Befugnisse alleine schaffen keine Cybersicherheit. Cybersicherheit entsteht nicht automatisch dadurch, dass möglichst viele Behörden möglichst viele Befugnisse erhalten. Wir haben heute schon eine hochkomplexe Cybersicherheitsinfrastruktur. Wir haben den Bund, wir haben die Länder, wir haben Kommunen, Polizei, Verfassungsschutz, wir haben das BKA, Bundespolizei, BSI und im Fall der Fälle natürlich auch die Bundeswehr. Dazu kommen europäische Behörden und europäische Vorgaben. Ich versuche seit Monaten, mir ein Bild der Zuständigkeiten in diesem Bereich zu zeichnen, und immer wenn ich glaube, fertig zu sein, kommt ein neuer Pfad hinzu. Wer dieses Bild kennt, der versteht, glaube ich, sehr schnell, dass es uns nicht an Akteuren mangelt. Unser Problem ist ganz oft die Übersicht, unser Problem ist ganz oft eine fehlende Koordination.
Deswegen müssen wir neben der Debatte um Befugnisse, die wir aus meiner Sicht vollkommen zu Recht führen, auch die Debatte führen, wie wir in vielen Bereichen die Koordination nachschärfen können. Wir müssen die Fragen klären: Wer macht eigentlich was? Wer ist verantwortlich? Wie werden Informationen in der Realität zusammengeführt?
Das Problem eines Cyberangriffs ist: Er ist deutlich komplexer als jedes Organigramm, das wir zeichnen können. Ich bleibe bei Ihrem Beispiel eines Krankenhauses, Herr Dobrindt. Stellen wir uns vor – fiktiv, aber leider nicht unrealistisch –, dass ein deutsches Krankenhaus Opfer eines Cyberangriffs wird. Die Angreifer verschlüsseln die Daten, aber natürlich nicht direkt vom eigenen Rechner aus. Sie nutzen dafür beispielsweise einen Server eines Krankenhauses in den USA. Von dort aus leiten sie die Daten um auf das deutsche Krankenhaus. Natürlich stellen sich jetzt Fragen, die wir klären müssen: Welches System greifen wir an? Den Server im deutschen Krankenhaus, den im US-Krankenhaus? Ich glaube, wir müssen gerade feststellen, dass im Cyberraum viele, wenn nicht alle Computer, gegen die wir vorgehen wollen, am Ende oft nicht zum Täter gehören, sondern zum nächsten Opfer.
Und dennoch, Herr Dobrindt, ist die Diskussion richtig. Wir müssen sie gerade in diesen Bereichen führen. Ich glaube, wir werden in diesem Verfahren einen guten Weg finden, um genau die Abwägungen und am Ende auch Nachschärfungen zu treffen, die wir wollen.
Abschließend richte ich hier ein großes Dankeschön an Frau Ludwig, die sich der Diskussion schon im Vorfeld gestellt hat und uns bereits seit Wochen und Monaten immer wieder sehr fachkundig antwortet. Deswegen bin ich mir sicher, dass wir aus diesem Entwurf am Ende ein Gesetz machen werden, das die aktuelle Bedrohungslage klar adressiert und das Schutzziel des BMI, das es vollkommen richtigerweise adressiert, in einer sehr guten Weise erreicht. Deswegen noch mal danke für den Entwurf an das BMI und danke für die gute Zusammenarbeit.