Martin Schallbruch ist Direktor des Digital Society Institute, ESMT Berlin. Zuvor war er Abteilungsleiter für Digitale Gesellschaft und Cybersicherheit im Innenministerium.
WirtschaftsWoche: Herr Schallbruch, mit fast anderthalbjähriger Verspätung hat die Regierung nun den Entwurf ihres IT-Sicherheitsgesetzes 2.0 vorgelegt, mit dem Unternehmen, Verbraucher, kritische Infrastrukturen und die Bundesverwaltung besser geschützt werden sollen. Wie gut kann Deutschlands Cybersicherheit mit den Maßnahmen gestärkt werden?
Martin Schallbruch: Den Behörden bekommen mit dem Gesetz deutlich mehr Möglichkeiten, auf Sicherheitslagen zu reagieren. So sind in dem Entwurf beispielsweise erste Stufen der aktiven Cyberabwehr enthalten, das gibt es bisher nicht. Grundsätzlich ist der Entwurf deutlich verbessert worden zu den Versionen, die vorher auf dem Tisch lagen.
Fast 1000 neue Stellen werden in den Sicherheitsbehörden geschaffen, um die neuen Aufgaben zu erfüllen. Am stärksten wächst das BSI, das Bundesamt für Sicherheit in der Informationstechnik: Es bekommt fast 800 neue Stellen. Wird es mit dann insgesamt mehr als 2000 Stellen zur Superhörde für IT-Sicherheit?
Es ist völlig richtig und wichtig, dass das BSI in allen Bereichen eigene Kompetenzen aufbaut, wie etwa im Bereich des Internets der Dinge (IoT), der KI und 5G. Angesichts der zunehmenden Vernetzung und Digitalisierung braucht Deutschland eine Behörde, die die beste Kompetenz hat bei der IT-Sicherheit. Aber ich sorge mich, dass das BSI mit seiner Größe so eine Art ‚Single Point of Failure‘ in der deutschen Cybersicherheit werden könnte.
Woher kommt diese Sorge?
Das Gesetz ist nach einem sehr einfachen Prinzip gestrickt: Sobald ein Unternehmen eine Schwachstelle oder einen Vorfall bemerkt, muss dieser dem Staat gemeldet werden und der muss dann entscheiden, was zu tun ist. Da frage ich mich, wie dies einer solchen Superbehörde mit mehr als 2000 Stellen gelingen soll, zumal angesichts der Komplexität der Themen: Sie müssen sich nur einmal die IT eines Großkonzerns anschauen. Da ist es für das BSI völlig unmöglich, ein IT-Sicherheitsproblem zu beurteilen, zumal es dann ja oft schnell gehen muss. Allzuständigkeit führt zu einer völlig überzogenen Erwartungshaltung.
Nämlich, das BSI als Retterin in jeder Not zu sehen?
Die Gefahr besteht zumindest. Denn das BSI macht künftig quasi ein Massengeschäft, es darf alles wissen, alle Systeme im Internet überprüfen und alle Produkte, die auf dem Markt sind. Gibt es nun ein Problem in der Cybersicherheit, kann ein Unternehmen nun die Verantwortung immer dem BSI zuschieben und den Vorwurf erheben, warum das BSI nicht besser das Produkt oder System untersucht und dann gewarnt hat. Dass die Unternehmen selbst mehr Verantwortung übernehmen, was dringend notwendig wäre angesichts des stetigen Anstiegs von Schadprogrammen und Cyberattacken, wird dadurch nicht unbedingt gefördert.
Wie sollte der Gesetzentwurf an dieser Stelle nachgebessert werden?
Es wäre wünschenswert, die Wirtschaft stärker zu incentivieren, Eigenverantwortung wahrzunehmen, etwa dazu, Informationen besser auszutauschen, Plattformen dafür zu schaffen. Das könnte man beispielsweise über Haftungserleichterungen erreichen. Ich hoffe, dass solche Instrumente im parlamentarischen Verfahren ergänzt werden.
Noch gibt es ja nicht mal zwischen den Ministerien eine Einigung, denn mit dem IT-Sicherheitsgesetz 2.0 soll auch geklärt werden, ob und wie der chinesische Netzausrüster Huawei am 5G-Aufbau beteiligt werden darf. Bringt das Verfahren nun endlich Klarheit in der ewigen Frage, wie es der Staat mit Huawei hält?
Nein, ich hätte mir eine klare politische Entscheidung gewünscht wie in anderen Staaten. Nun gibt es keine Klarheit, sondern ein sehr komplexes Verfahren nach dem Motto: Wenn wir keine Lösung finden, dann bauen wir eben eine Bürokratie. Die Netzbetreiber, die eine Technologie auswählen und im Aufbau des 5G-Netzes dringend vorankommen müssen, bekommen weiterhin keine Rechtssicherheit, sondern werden auf den Verschiebebahnhof geschickt. Der gefundene Kompromiss ist aus meiner Sicht sehr schlecht.
Was kritisieren Sie konkret?
Wenn ein Unternehmen eine kritische Komponente einsetzen will, muss dies bei Innenministerium (BMI) angezeigt werden. Das BMI entscheidet dann innerhalb von vier Wochen darüber, ob der Einsatz der Komponente erlaubt wird oder nicht. Bei einer Untersagung müssen alle weiteren zuständigen Ressorts zustimmen, bei 5G neben dem BMI auch das Wirtschaftsministerium wegen der TK-Unternehmen und das Auswärtige Amt mit Blick auf die außen- und sicherheitspolitischen Fragen. Gibt es keine einvernehmliche Entscheidung, wird der Einsatz auch nicht untersagt. Damit verschiebt man die politische Entscheidung in die Zukunft. Denn gibt es einen Dissens, wird ja das Ministerium mit der abweichenden Meinung eskalieren und dann landet die Entscheidung am Ende in der Politik.
Ein „interministerieller Jour Fix“ zwischen Kanzleramt und den zuständigen Referatsleitern der Ressorts soll verhindern, dass es soweit kommt.
Weshalb sollen sich plötzlich Referatsleiter auf etwas verständigen können, worüber die Ressortspitzen seit Monaten streiten? Die Diskussion, die es vorher gab, ist ja nicht mit Inkrafttreten des Gesetzes einfach beendet. Denn sobald das Gesetz durch ist, wird auch schon der erste Netzbetreiber eine Komponente anzeigen – und dann hat vermutlich ein Ministerium Bedenken. Insofern ist die Huawei-Frage weiterhin ungeklärt.
Was aber ist mit den Netzbetreibern, die bereits mit dem 5G-Ausbau begonnen haben und dringend Klarheit brauchen?
Diejenigen, die Huawei jetzt schon einsetzen – was aktuell ja regulär erlaubt ist – können dies auch erstmal weiterhin tun. Nach dem Gesetz wird die Hürde, Komponenten aus dem laufenden Betrieb zu nehmen, besonders hoch sein. Aber diejenigen, die sich noch nicht entschieden haben, werden eher von Huawei abrücken, weil sie nicht wissen, wo die Reise hingeht. Provider werden durch die andauernde Hängepartei eher dazu gedrängt, noch intensiver nach Alternativen zu suchen.
Der Streit um Huawei ist zuletzt auch durch den abgewählten US-Präsidenten Donald Trump befeuert worden, der das chinesische Unternehmen auf seine sogenannte schwarze Liste gesetzt hat. Was wird sich nun mit seinem Nachfolger Joe Biden ändern?
An der Grundposition der Amerikaner wird sich unter Biden wenig ändern. Denn die Haltung, im Bereich der Technologien eine chinesische Übermacht zu verhindern, ist parteiübergreifend. Was sich aber vermutlich verändern wird, ist der Tonfall und die Art des Vorgehens. Huawei-Manager werden vielleicht nicht mehr so schnell in Kanada verhaftet wie bisher. Dazu werden die Amerikaner hoffentlich in der internationalen Politik wieder versuchen, Bündnisse zu schließen. Also, weniger zu drohen und eher zu fragen, ob man nicht eine gemeinsame Strategie schmieden will.
Gegen chinesische, für westliche Technologien?
Ja, im Sinne gemeinsamer Technologiepolitik. Wenn das noch dazu mit dem verlockenden Angebot kombiniert wird, dass die Amerikaner dann auch die europäischen Hersteller besonders berücksichtigen werden, wird die deutsche Politik schnell in die Bredouille kommen und sich fragen müssen, ob und wie sie sich mit ihrem Mittelweg hieran mitwirken kann.
Den hat die Kanzlerin Angela Merkel erst vergangene Woche im Telefonat mit Chinas Staatspräsident Xi Jinping bekräftigt.
Mit dem aktuellen Verfahren wird die Kanzlerin natürlich ihrem chinesischen Kollegen immer in die Augen blicken und sagen können: Wir schließen Huawei nicht aus, denn das Gesetz ist keine „Lex Huawei“. Andererseits wird sich Deutschland aber vor allem im transatlantischen Kontext bewegen müssen, zumal es darum geht, wie europäische Technologien besser gefördert werden können, um mehr digitale Souveränität zu erreichen.
Wo steht Deutschland mit dem Gesetzesentwurf in den innereuropäischen Beziehungen?
Wir werden bei 5G weiter wahrgenommen als diejenigen, die sich noch nicht wirklich entschieden haben. Frankreich und Großbritannien sind mit ihren Huawei-Ausschlüssen da schon deutlich weiter.
Das interessiert WiWo-Leser heute besonders
So schummels sich Ikea, Karstadt & Co. am Lockdown vorbei
Warum VW-Händler keine E-Autos verkaufen wollen
„Ich dachte, der KGB hätte mich entführt“
Was heute wichtig ist, lesen Sie hier
Was ist mit Deutschlands sonst so gepflegter Führungsrolle in Europa?
Für mich ist die aktuelle Strategie sehr schwer nachvollziehbar. Einerseits wollen wir technologische Souveränität erreichen. Wir investieren enorm in Mikroelektronik, um eine Chipindustrie in Europa zu fördern, wo wir derzeit weit hinter den Asiaten und Amerikanern zurück sind. Wir investieren viel Geld in den Aufbau der europäischen Cloud-Allianz Gaia-X, eine Technologie, bei der europäische Anbieter auf dem Weltmarkt keine Rolle spielen. Aber ausgerechnet bei einer Technologie wie 5G, wo wir starke europäische Anbieter haben, da wollen wir auf deutschen Märkten alle globalen Anbieter gleichbehandeln. Das ist doch eine technologiepolitische Katastrophe. Man muss auf Stärken setzen und diese fördern!
Technologiepolitik bleibt damit also das große Thema für die nächste Kanzlerin oder den nächsten Kanzler?
Ja, denn die Linie, die wir jetzt haben, die wird längerfristig nicht durchhalten lassen. Spätestens, wenn es um künstliche Intelligenz (KI) geht. Wollen wir chinesische KI-Systeme in kritischen Kernbereichen des Gesundheitswesens einsetzen, obwohl China mit Daten ganz anders umgehen als wir? Wollen wir da auch wieder so ein komplexes Verfahren starten wie jetzt bei Huawei und uns alle Komponenten im Einzelfall anschauen? Technologiepolitik und insbesondere die Frage, bei welchen Produkten wir auf chinesische Hersteller setzen, wird in der nächsten Legislaturperiode noch einmal deutlich wichtiger werden.
Mehr zum Thema: Bei KI setzen Deutschland und die EU auf breite Regulierung – damit droht ein großer Nachteil im Wettbewerb um die Technologieführerschaft.
