- Anzeigen -


Sie sind hier: Home » Markt » Nachrichten

Warnungen vor IT-Sicherheitslücken


Einsatz von Schadsoftware (sog. Bundestrojaner) und Zurückhaltung und Ausnutzung von Sicherheitslücken durch Bundesbehörden
Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig Erkenntnisse zu Sicherheitslücken

- Anzeigen -





Öffentliche Warnungen vor Sicherheitslücken in informationstechnischen Systemen sind ein Thema der Antwort der Bundesregierung (18/13566) auf eine Kleine Anfrage der Fraktion Bündnis 90/Die Grünen (18/13413). Darin erkundigten sich die Abgeordneten unter anderem danach, ob die Bundesregierung die Auffassung teilt, "dass die Zurückhaltung beziehungsweise fehlende staatliche Meldung jeglicher Formen von Sicherheitslücken an Hersteller wie Bürgerinnen und Bürger im konkreten Fall nicht nur Gefahren für Einzelpersonen, sondern für die kritischen Infrastrukturen der Bundesrepublik Deutschland insgesamt nach sich ziehen können".

Wie die Bundesregierung dazu ausführt, können Schwachstellen beziehungsweise Sicherheitslücken in informationstechnischen Systemen Risiken für IT-Infrastrukturen und Bürger darstellen, sofern sie "Personen oder Stellen bekannt werden, die eine Ausnutzung der Schwachstellen zu rechtswidrigen Zwecken beabsichtigen".

Daher diskutiere das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig Erkenntnisse zu Sicherheitslücken, die etwa öffentlich bekannt sind oder auf eigenen Analysen beruhen, mit den betroffenen Herstellern, damit diese die Sicherheitslücken kurzfristig schließen können. Falls sich aus Sicherheitslücken eine Gefährdung für Bürger, Unternehmen oder Verwaltungseinrichtungen ergibt, spricht das BSI darüber hinaus den Angaben zufolge zielgruppenspezifische oder öffentliche Warnungen aus.

Vorbemerkung der Fragesteller
Seit der Änderung des Bundeskriminalamtgesetzes (BKAG) im April 2017 hat das BKA in § 49 BKAG die Ermächtigung zum präventiv-polizeilichen Einsatz von sog. Staatstrojanern erhalten. Dabei wurde in § 49 BKAG u. a. verfahrensrechtlich nicht sichergestellt, "dass die vom BKA einzusetzende Überwachungs-Software Mindestanforderungen an die Datensicherheit erfüllen" (Buermeyer, Stellungnahme für die Öffentliche Anhörung zum Gesetzentwurf zur Neustrukturierung des BKAG, Ausschussdrucksache 18(4)806 E).

Die Rechtsgrundlage für den Einsatz der Staatstrojaner führt zu einem Interesse der Sicherheitsbehörden, Sicherheitslücken offen zu halten, um Systeme von Zielpersonen infiltrieren zu können und nicht im Sinne der Cybersicherheit und des Schutzes aller Bürgerinnen und Bürger an die zuständigen Behörden und die Betroffenen zu melden, damit diese geschlossen werden. Das Gesetz tritt am 25. Mai 2018 in Kraft. Bezüglich der Frage, ob die vom BKA entwickelten Trojaner sowie die zusätzlich erworbenen, kommerziellen Trojanerprodukte verfassungskonform eingesetzt werden können, bestehen aus Sicht der Fragesteller weiterhin erhebliche Zweifel. Die Rechtmäßigkeit des Einsatzes und die Verfassungskonformität des Programms wären u. a. nur über die vollständige Offenlegung des Quellcodes nachzuweisen.

Dass die Schadsoftware wie im Falle der sog. Quellen-Telekommunikationsüberwachung (Quellen-TKÜ) ausschließlich auf Kommunikationsvorgänge beschränkt werden kann, halten Experten jedoch für kaum möglich (vgl. https://netzpolitik.org/2017/staatstrojaner-bundestagbeschliesst-diese-woche-das-krasseste-ueberwachungsgesetz-der-legislaturperiode/). Durch die Schaffung neuer Rechtsgrundlagen in der Strafprozessordnung (StPO) zum Einsatz von Trojanern in der Strafverfolgung verschärft sich die Problematik der vom BKA entwickelten Software. Es besteht die Möglichkeit, dass die Software massenhaft in der Strafverfolgung eingesetzt werden wird und sich die Risiken sowohl für die Rechte der Bürgerinnen und Bürger als auch für die IT-Sicherheit dadurch potenzieren.

Zudem wurden jüngst Berichte darüber öffentlich, dass das BKA jedoch nicht einmal die passende Überwachungssoftware besitze, um die als geringfügigerer Eingriff geltende, sog. Quellen-TKÜ durchführen zu können. So funktioniere der neue Bundestrojaner nach Informationen der "taz" nur auf Computern mit den Betriebssystemen Windows 7 und Windows 8. An einer Version für Windows 10 werde gearbeitet. Noch gar keine Lösung gibt es angeblich für die gängigen Betriebssysteme von Smartphones – wo eigentlich der Hauptbedarf bestehe (taz vom 20. Januar 2017, www.taz.de/!5373564/).
Deutsche Bundesregierung: ra)

eingetragen: 06.09.17
Home & Newsletterlauf: 17.10.17


- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Nachrichten

  • "Entschlüsselungsplattform" bei Europol

    Der Umgang mit verschlüsselten Inhalten bei der EU-Polizeiagentur Europol ist ein Thema der Antwort der Deutschen Bundesregierung (19/1435) auf eine Kleine Anfrage der Fraktion Die Linke (19/993). Darin schrieb die Fraktion, dass Europol "weitere fünf Millionen Euro zur Entwicklung von Fähigkeiten zum Auslesen verschlüsselter Inhalte" erhalten solle. Wie die Bundesregierung in ihrer Antwort ausführt, stellt Verschlüsselung die Sicherheitsbehörden in der EU vor wachsende Herausforderungen bei den Ermittlungen. Daher sei es notwendig, dass Europol den betroffenen Sicherheitsbehörden die erforderliche Unterstützung zukommen lassen kann. Dies könne auch mit der Ausstattung von Europol mit Finanzmitteln einhergehen.

  • Grüne wollen Stärkung der IT-Sicherheit

    Die Fraktion Bündnis 90/Die Grünen dringt auf eine Stärkung der IT-Sicherheit in Deutschland. Dazu soll die Bundesregierung ein umfangreiches Maßnahmenpaket umsetzen, fordert die Fraktion in einem Antrag (19/1328). So soll die Regierung nach dem Willen der Fraktion "schnellstmöglich ein neues IT-Sicherheitsgesetz vorlegen", das mehr als nur die bisher berücksichtigte kritische Infrastruktur umfassen und auch öffentliche Stellen einbeziehen soll. Die Verantwortung für IT-Sicherheit müsse aus dem Bundesinnenministerium herausgelöst werden, "um den effektiven Grundrechtsschutz zu stärken". Zudem müssten klare Zuständigkeiten innerhalb der Bundesregierung benannt werden.

  • Für effektive Verschlüsselung im Internet

    Die Deutsche Bundesregierung setzt sich für einen flächendeckenden Einsatz des verschlüsselten Übertragungsprotokolls HTTPS im Internet ein. Es werde regelmäßig auf die Bedeutung der Nutzung von HTTPS hingewiesen. Viele Webseiten des Bundes böten den Einsatz von HTTPS oder erzwängen ihn automatisch, heißt es in der Antwort (19/681) der Bundesregierung auf eine Kleine Anfrage (19/517) der Fraktion Die Linke. Insgesamt unterstützten von 2.997 verwendeten Domains der Bundesbehörden 84,6 Prozent HTTPS. Das sei ein guter Stand, der noch verbessert werden könne. Das Ziel sei, den Anteil der Behörden-Domains mit Verschlüsselung weiter zu erhöhen.

  • Sicherheit beim Internet der Dinge

    Mit dem Internet verbundene Gebrauchsgeräte ("Internet der Dinge") müssen nach Ansicht der Deutschen Bundesregierung Mindestsicherheitsanforderungen erfüllen. Ansonsten ginge von einer massenweisen Verbreitung solcher Geräte ein Risiko für die gesamte IT-Infrastruktur aus, heißt es in der Antwort (19/662) der Bundesregierung auf eine Kleine Anfrage der FDP-Fraktion (19/514). Es sei daher "gut und richtig, dafür Sorge zu tragen, dass diese vernetzbaren Geräte erstmals flächendeckende Mindestsicherheitsstandards aufweisen und diese dem Käufer auch transparent sind". Mit der Cybersicherheitsstrategie 2016 habe sich die Bundesregierung zum Ziel gesetzt, Vorschläge zu unterbreiten, damit Verbraucher auf Basis eines einheitlichen Gütesiegels beim Kauf neuer IT-Produkte schnell feststellen könnten, welches Angebot sicher sei.

  • Einsatzteam für Computernotfälle

    Die Europäische Union will sich besser gegen Cyberbedrohungen schützen. Die EU-Institutionen haben eine interinstitutionelle Vereinbarung unterzeichnet, mit der ein ständiges Einsatzteam für Computernotfälle (Computer Emergency Response Team - CERT-EU) für die europäischen Organe, Einrichtungen und Agenturen eingerichtet wird. Bereits im September hatte die EU-Kommission eine Reihe von Maßnahmen zur besseren Reaktionsfähigkeit der EU auf Cyberangriffe vorgeschlagen. Der für den digitalen Binnenmarkt zuständige Kommissionsvizepräsident Andrus Ansip erklärte: "Das Computer Emergency Response Team ist ein wichtiger Akteur beim Schutz der EU-Institutionen vor Cyber-Bedrohungen. Es zeigt, wie viel die EU-Institutionen erreichen können, wenn sie gemeinsam handeln."