- Gegen weitere Haftungspflichten für IT-Dienstleistungen und IT-Produkte
- Konsequente Umsetzung statt Strategie-Overload
- eco Leitlinien zur IT-Sicherheitspolitik veröffentlicht
Vertrauen ins Netz stärken – staatliche Überwachung eingrenzen, so lautet einer der wesentlichen Grundsätze, die die Bundesregierung für eine zeitgemäße Cybersicherheitsstrategie berücksichtigen sollte. Dies geht aus den aktuellen Leitlinien zur IT-Sicherheitspolitik in Deutschland hervor, die eco – Verband der Internetwirtschaft e.V. veröffentlicht hat.
Der Verband spricht sich darin insbesondere gegen weitere Haftungspflichten für IT-Dienstleistungen und -Produkte aus. Im Hinblick auf die von der Bundesregierung für diesen Herbst angekündigte Verabschiedung der neuen Cybersicherheitsstrategie warnt eco Vorstand Politik & Recht Oliver Süme außerdem vor einem Strategie-Overload, die Bundesregierung dürfe neben aller Strategieentwicklung, auch die Umsetzung der sicherheitspolitischen Maßnahmen nicht aus den Augen verlieren:
»Mit dem IT-Sicherheitsgesetz und der Rechtsverordnung für kritische Infrastrukturen hat die Bundesregierung erste wichtige Schritte hin zu mehr IT-Sicherheit getan. Jetzt sollten die darin festgeschriebenen Regelungen erstmal umgesetzt werden, bevor man neue sicherheitsstrategische Fragen in Angriff nimmt«, sagt eco-Vorstand Politik & Recht Oliver Süme. Die Internetbranche sehe sich als enger Partner der Politik in IT-Sicherheitsfragen und habe von sich aus ein starkes Interesse an einem hohen IT-Sicherheitsniveau, so Süme.
Die Wirtschaft setze hierbei aber vor allem auf eine möglichst breite Nutzeraktivierung und -Aufklärung. Panikmache und übertriebene Überwachung durch staatliche Behörden, wie etwa die aktuell diskutierte Verpflichtung zur schnelleren Herausgabe von Nutzerdaten oder die Einführung eines einheitlichen Identitätsmanagements, lehne man hingegen ab, da sie Misstrauen fördere und innovative Dienste behindere.
Alle Leitlinien für eine zeitgemäße IT-Sicherheitspolitik im Überblick
eco hält den Auf- und Ausbau der Resilienz gegenüber IT-Angriffen für unerlässlich. Er sieht dazu folgende Voraussetzungen als zwingend notwendig an:
- Gegenseitiges Vertrauen und Zusammenarbeit zwischen Staat und Internetwirtschaft: Staat und Wirtschaft sollten darauf vertrauen, dass beide Seiten verlässliche Partner bei der Realisierung von mehr IT-Sicherheit sind. Dies geschieht am ehesten durch gemeinsame Projekte und Partnerschaften.
- Sicherheitsstandards und Maßgaben so umsetzen, dass Internetnutzer »mitgenommen werden«: Der Schwerpunkt sollte dabei darauf gelegt werden, Unternehmen, Nutzerinnen und Nutzern mit sachgerechten Informationen für die Sicherheit ihrer IT-Systeme zu versorgen. Einfache Sicherheitschecks, Selbsttests und Cleaner Tools helfen mehr, als Warnhinweise oder Bekanntmachungen, die für Verunsicherung sorgen. Eingriffe in Netze, Dienste oder Haftungsregime sind keine Lösung bei der Durchsetzung von IT-Sicherheit.
- Wettbewerb um starke IT-Sicherheit fördern: Man sollte nicht den Versuch unternehmen, IT-Sicherheit durch enge, rigide und pauschal hohe Auflagen zu erreichen. Stattdessen sollten mehr preiswerte, einfach bedienbare Sicherheitsprodukte mit einem hohen Schutzniveau dem Markt zur Verfügung gestellt und so ein Wettbewerb um starke IT-Sicherheit gefördert werden.
- Rechtsstaatsprinzip wahren – Vertrauen ins Netz erhalten: Keine Eingriffe in Netze oder Dienste ohne entsprechende richterliche Anordnung. Das Vertrauen der Nutzer in das Internet muss erhalten bleiben. Es darf nicht der Eindruck entstehen, man sei dort der Willkür von Providern oder Diensteanbietern ausgesetzt. Auch dürfen diese nicht für hoheitliche Aufgaben herangezogen werden.
- IT-Sicherheit als dynamisches Thema verstehen: Es muss ein grundsätzliches Verständnis für die Entwicklung von IT-Systemen bestehen, in dem allen Beteiligten klar ist, dass ein System nicht als »sicher« definiert werden kann. Haftungsauflagen o.ä. sind hierfür ungeeignet. Sinnvoller ist es, gemeinsame Forschungsprojekte und Penetrationstests durchzuführen, um IT-Systeme gemeinsam besser absichern zu können.
Eine ausführliche Version der eco Leitlinien zur IT-Sicherheitspolitik in Deutschland steht online zum Download bereit. https://www.eco.de/wp-content/blogs.dir/20161005_eco_ltl_it-sicherheit_final.pdf
eco (www.eco.de) ist mit rund 900 Mitgliedsunternehmen der größte Verband der Internetwirtschaft in Europa. Seit 1995 gestaltet der eco Verband maßgeblich die Entwicklung des Internets in Deutschland, fördert neue Technologien, Infrastrukturen und Märkte, formt Rahmenbedingungen und vertritt die Interessen der Mitglieder gegenüber der Politik und in internationalen Gremien. In den eco Kompetenzgruppen sind alle wichtigen Experten und Entscheidungsträger der Internetwirtschaft vertreten und treiben aktuelle und zukünftige Internetthemen voran.
Unternehmen zu einseitig bei der Wahl ihrer IT-Sicherheitsstrategie
Security-Trends 2015: Unternehmen werden ihre Sicherheitsstrategien stärker gewichten
IT-Sicherheitsinitiativen müssen Privileged Account Security beinhalten
Arbeitsmarktstudie 2016: IT-Sicherheit mit größtem Stellenaufbau bis 2020