Sehr geehrter Herr Präsident! Liebe Kolleginnen und Kollegen! Deutschland wird angegriffen – jeden Tag tausendfach, oft im Verborgenen. Als drittgrößte Volkswirtschaft der Welt sind wir eines der beliebtesten Ziele für Cyberattacken. In meinem Bundesland, im Saarland, gab es erst kürzlich einen Angriff auf die Lernplattform Moodle der Universität des Saarlandes, bei dem sich Angreifer Zugriff auf die Daten von Tausenden Studierenden verschafft haben. Davor traf es den Arbeiter-Samariter-Bund und viele weitere.
Es ist daher folgerichtig, dass die Bundesregierung dieses Problem in den Griff bekommen will. Dieser Gesetzentwurf erscheint auf den ersten Blick wie eine Lösung. Die aktive Cyberabwehr ist in diesem Fall aber ein Paradigmenwechsel. Es geht nicht mehr nur um Schutz, Prävention oder Widerstandsfähigkeit. Und Sie nennen das nicht „Hackback“, sondern „aktive Cyberabwehr“. Auch hat das Gesetz einen irreführenden Namen; denn um die Stärkung der Cybersicherheit geht es eigentlich nicht.
Das Gesetz beinhaltet stattdessen eine massive Ausweitung der Befugnisse von BKA, BSI und Bundespolizei. Diese sollen künftig in IT-Systeme eingreifen, Daten löschen oder verändern können.
Richtig ist, dass wir unsere Fähigkeiten im Cyberraum massiv ausbauen müssen. Richtig ist auch, dass wir wirksame Befugnisse brauchen, um dieser Bedrohungslage gerecht zu werden.
Aktive Cyberabwehr muss aber besonders sorgfältig abgewogen werden. Sie muss angemessen, wirksam und rechtsstaatlich sein, und daran habe ich, wenn ich diesen Gesetzentwurf anschaue, massive Zweifel.
Die aktive Cyberabwehr ist nicht ohne Grund hochumstritten. Der Gesetzentwurf erlaubt unter anderem Angriffe auf die Opfersysteme; denn viele Angreifer nutzen schlecht geschützte Geräte als Proxy. Oft ist der Angreifer gar nicht so leicht auszumachen, weil er seine Spuren gut verwischt hat. Wer da einfach zurückschlägt, trifft im Zweifel nicht den Drahtzieher, sondern Unschuldige.
Das bedeutet, dass ein Heimrouter, der von Hackern gekapert wurde, im Zweifel auch Ziel von staatlichen Eingriffen wird. Aber was, wenn es sich um einen Server im Krankenhaus handelt oder um einen Server in den kommunalen Stadtwerken? Was passiert in einem solchen Fall? Wer übernimmt dann die Verantwortung? Welche Kollateralschäden können dabei entstehen? Das lässt der Entwurf offen.
Wir schlagen zurück – das ist das Motto von Ihnen, Herr Minister Dobrindt. Aber wer zum Gegenschlag aufruft, der muss aufpassen, dass er sich damit nicht selbst schädigt. Ich bin keine Expertin für Fußball; aber ich bleibe mal bei den Metaphern des Tages: Das nennt man ein klassisches Eigentor.
Um in fremde Systeme eindringen zu können, braucht es Schwachstellen. Und genau hier offenbart der Gesetzentwurf seine nächste Leerstelle: Es gibt kein verbindliches Verfahren dafür, wann der Staat entdeckte Schwachstellen melden und schließen muss. – Stattdessen schafft er Befugnisse, die voraussetzen, dass diese Schwachstellen offenbleiben. Jede offene Schwachstelle ist zugleich auch eine Einladung an Kriminelle, diese zu nutzen. Das macht unsere Infrastruktur nicht sicherer, nicht resilienter, sondern vulnerabler.
Dazu kommt, dass dieser Entwurf verfassungsrechtlich höchst bedenklich ist. Gefahrenabwehr ist Sache der Länder. Und jetzt soll das BKA für Cyberangriffe zuständig sein? Ich zitiere hier aus einem juristischen Fachartikel:
„So erlauben die genannten Kompetenztitel dem Bund – metaphorisch gesprochen – jenseits der Erneuerung und Stabilisierung eines Burgwalls gerade keinen gezielten Rettungsschuss aus der Burg, um einen Fremdbeschuss mit eigenen Mitteln hoheitlich zu beenden.“
Der Autor dieses Artikels, Herr Staatssekretär Philipp Amthor, weiß, wovon er spricht.
Liebe Bundesregierung, statt sich einer notwendigen politischen und verfassungsrechtlichen Diskussion über die Abwehr von Cyberangriffen zu stellen, verkaufen Sie uns eine rechtliche Mogelpackung. Aktive Cyberabwehr schließt keine einzige Schutzlücke, –