Mit dem Koalitionsvertrag wird die Cybersicherheit zum Wesensmerkmal einer Vielzahl politischer Vorhaben gemacht und erfährt die notwendige politische Priorisierung. Ein Rundumschlag in vielerlei Hinsicht, der Mut macht. Denn die Sicherheit von Informationstechnologien entscheidet wesentlich über den Erfolg, die Strahlkraft sowie die digitale Souveränität des Wirtschaftsstandorts Deutschland.
Ausdrücklich begrüßt werden die folgenden Vorhaben der neuen Bundesregierung:
Prioritätensetzung auf Verschlüsselung, Security by design & default, offene Standards sowie Interoperabilität
Aufbau eines wirksamen Schwachstellenmanagements zur schnellstmöglichen Schließung von Sicherheitslücken
Abwägen der Notwendigkeit neuer Sicherheitsgesetzgebungsvorhaben und Überprüfung des Gesamtrahmens
Einsatz für Cyber-Normen zur Gewährleistung verantwortlichen Handelns von Staaten im Cyberraum
Ausbau der Unterstützung für KMU in puncto IT-Sicherheit
Stärkung der Cybersicherheit als digitale Schlüsseltechnologie Deutschlands
Was es in der Umsetzung jetzt konkret braucht, ist eine zielgerichtete, risiko- und evidenzbasierte sowie auf die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit ausgerichtete Cybersicherheitspolitik. Zusätzlich muss die Stärkung des digitalen europäischen Binnenmarkts zur Vorbedingung aller Vorhaben gemacht werden. Die Bundesregierung muss klar und gemeinsam mit den europäischen Partnern definieren, was ihre Schutzziele im Cyberraum sind und welche gesetzgeberischen Maßnahmen konkret auf welche Schutzziele einzahlen. Es braucht EU-weit harmonisierte und sich an internationalen Standards orientierende Cybersicherheitsvorschriften für Technologieprodukte sowie einheitliche Prüf- und Zertifizierungsvorgaben auf EU-Ebene.
Cybersicherheit als Hebel zur Stärkung souveränen Handelns begreifen
Die Stärkung und strategische Nutzung unseres bereits exzellenten IT-Sicherheitsstandorts sowie die existierende und vertrauensvolle Zusammenarbeit mit unseren europäischen und internationalen Partnern muss Kernanliegen der kommenden Legislaturperiode sein.
Bildung als Schlüssel zum Erfolg verstehen: Eine wesentliche Komponente sowohl von digitaler Souveränität als auch von Cybersicherheit ist die zukunftsfähige Bildung aller Menschen in Deutschland. Für eine gesunde Informationsgesellschaft müssen Medienkompetenz und IT-Know-how spätestens ab der Grundschule in die Bildungspläne integriert werden. Informatik ist als Pflichtfach ab Sekundarstufe I einzuführen.
Dem Fachkräftemangel entgegenwirken – insbesondere durch Frauenförderung: Dem Mangel an Fach- und Führungskräften Cybersicherheit muss dringend begegnet werden. Zur Abmilderung des strukturellen Mangels muss das Potenzial der gesellschaftlichen Vielfalt genutzt und vor allem die Förderung von Frauen gestärkt werden.
Mittelstand mitdenken: Neben der Bereitstellung praxisnaher Unterstützungsangebote fordert Bitkom steuerliche Anreize, um Kostensynergien zu nutzen und den Einsatz von Cybersicherheitslösungen für KMU attraktiver zu machen. In Übereinstimmung mit dem BSI empfiehlt Bitkom 20% des IT-Budgets in Cybersicherheit zu investieren.
Verbindliche Sicherheitsanforderungen bei öffentlichen Beschaffungen festlegen: Die öffentliche Hand ist mit Abstand der größte Beschaffer im Land und sollte sich für höhere Cybersicherheit-Standards und eine Weiterentwicklung der Vergabekriterien bei der öffentlichen Beschaffung einsetzen. Bei allen Digitalisierungsprojekten ist eine Mindestquote für Investitionen in Cybersicherheit vorzusehen. Eine Orientierung an den bereits oben genannten 20% erscheint sinnvoll.
Starke, vertrauenswürdige Verschlüsselungstechnologien für mehr Cybersicherheit garantieren: Neben staatlichen Institutionen ist es vor allem die häufig international orientierte deutsche Wirtschaft, die sich auf sichere, kryptografische Methoden verlassen können muss. In Anbetracht der Tatsache, dass Cybersicherheit nur durch wirksame Verschlüsselung gewährleistet werden kann, braucht es ein klares Verbot, den Cyberraum staatlicherseits zu schwächen.
Globale Strahlkraft des Standorts Deutschland für die Cybersicherheit verinnerlichen: Wie in der UN-Resolution A/RES/73/266 dargelegt, bedarf es des verantwortlichen Handelns von Staaten im Cyberraum. Dieser Verantwortung muss sich Deutschland in der heutigen Zeit mehr denn je bewusst sein und die Vorreiterrolle annehmen.
Effizient funktionierendes Schwachstellenmanagement etablieren: Ein spezifisches Vulnerability Management muss in Abstimmung mit einer neutral agierenden Institution erfolgen und einem standardisierten Responsible Disclosure-Verfahren mit den Herstellern folgen, damit die Patch-Erstellung und -Verteilung an die Kunden klar geregelt wird. In einem solch transparenten und eindeutig geregelten Rahmen sind dann auch haftungsrechtliche Verpflichtungen denkbar, um die schnellstmögliche Schließung von Schwachstellen zu gewährleisten. Die politische Adressierung haftungsrechtlicher Verpflichtungen wird vom Bitkom grundsätzlich unterstützt, muss aber zwingendermaßen gemeinsam und im Einvernehmen mit der Wirtschaft erfolgen.
Verschlüsselungstechnologien und Krypto-Agilität zur Priorität erklären: Mit der Entwicklung von Quantencomputern steigt die Notwendigkeit, Post-Quanten-Kryptografie zu nutzen. Die Entwicklung zukunftssicherer Verschlüsselungsverfahren muss daher Hand in Hand gehen mit staatlichen Förderbestrebungen, um die flächendeckende Migration zu Quantencomputer-resistenten Infrastrukturen in Wirtschaft und Verwaltung zu bewerkstelligen.
Regulatorische Komplexitätsreduktion umsetzen
Komplexität ist der größte Feind von Sicherheit. Was auf technischer Ebene gilt, gilt einmal mehr auf regulatorisch-administrativer Ebene. Mehr Cybersicherheit wird nicht durch gesetzgeberisches Mikromanagement erreicht. Gleiches gilt mit Blick auf die Cybersicherheitsarchitektur und die unübersichtliche Zuständigkeitsstruktur auf Bundes- und Länderebene. Je früher die Verantwortungsdiffusion angegangen wird, desto geringer die Kollateralschäden für Wirtschaft, Wissenschaft und Gesellschaft.
Gesamtgesellschaftliche Informationsbasis zur Cyberbedrohungslage aufbauen und Meldewesen vereinfachen
Das große Potenzial der Bereitstellung von Echtzeitinformationen muss endlich genutzt werden, um die Reaktionsfähigkeit auf aktuelle und drohende Cybersicherheitsbedrohungen zu verbessern – idealerweise EU-weit. Dazu braucht es eine zentrale Anlaufstelle zur Information über Cybersicherheitsbedrohungen und -vorfälle. Diese zentrale Anlaufstelle ist eng mit dem oben skizzierten und noch aufzubauenden Schwachstellen-Management zu verzahnen. Anstelle reiner PDF-Berichte fordert Bitkom ein leicht verständliches Dashboard mit klar definierten Gefahrenindikatoren, maschinenlesbare Datensätze und entsprechende Schnittstellen (APIs), die eine Auswertung in Echtzeit ermöglichen.
