Unter Leitung des BSI wird eine freiwillige Cyber-Feuerwehr gegen Hackangriffe aufgebaut. Die IT-Experten sollen aus der Wirtschaft kommen.
Das Bundesinnenministerium und das Bundesamt für Sicherheit in der Informationstechnik (BSI) wollen eine Art freiwillige Cyber-Feuerwehr gegen Angriffe aufbauen. Die Experten dafür sollen aus der Wirtschaft kommen und kostenlos für die Behörde arbeiten unter Leitung des BSI. Das geht aus der „Kooperationsvereinbarung Cyberwehr“ hervor, die bei „Netzpolitik.org“ veröffentlicht wurde.
Cyber-Feuerwehr geplant
Das Innenministerium arbeitet seit einiger Zeit am Umbau der deutschen Sicherheitsinfrastruktur, um besser auf Angriffe aus dem Netz reagieren zu können. So will auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig bei schweren Cyber-Attacken betroffene Behörden und Unternehmen mit einer «Cyber-Feuerwehr» unterstützen. Das Ziel ist es, IT-Infrastruktur nach einem Angriff wieder «in eine stabile Seitenlage zu bringen». «Mobile Incident Response Teams» (MIRT) sollen konkrete Hilfestellungen dabei geben.
In Paragraf vier des Vertragsentwurfes heißt es: „Die Kooperationspartner erklären sich bereit, die Arbeitskraft geeigneter Mitarbeiter aus ihrem Unternehmen als technische Experten (Cyberwehr-Team-Mitglieder) für die Cyberwehr kostenlos zur Verfügung zu stellen. […] Die Kooperationspartner sichern ein Abrufkontingent für Einsätze in Höhe von bis zu 20 Personentagen im Kalenderjahr zu.“ Unternehmen, die mitmachen, sollen außerdem „zum Zwecke der Alarmierung der jeweiligen Cyberwehr-Team-Mitglieder“ eine Kontaktstelle einrichten, die an sieben Tagen rund um die Uhr besetzt ist. Wer dem BSI helfen will, IT-Angriffe zu erkennen und zu bekämpfen, muss also mindestens einen Mitarbeiter dafür einplanen, der ständig erreichbar ist und der entweder selbst 20 Tage im Jahr für das BSI arbeitet oder Kollegen schickt.
Der Einsatz der voraussichtlich 20-köpfigen Mannschaft sei in der Bundesverwaltung sowie bei Betreibern „kritischer Infrastrukturen“ geplant. Die Truppe soll bei Bedarf auch weitere Mitarbeiter aus dem BSI abrufen können. Sofern die Stellen bewilligt werden, sollen die Teams ab 2017 mit der Arbeit beginnen. Es handele sich um einen ersten Schritt: „Ob das ausreichend ist, werden wir sehen.“
Kritische Infrastrukturen müssen geschützt werden
Insbesondere im Bereich der Kritischen Infrastrukturen (KRITIS) – wie etwa für Telekommunikationsunternehmen, Banken, Krankenhäuser, Strom- und Wasserversorgung, Finanzen oder Ernährung – hätte ein Ausfall oder eine Beeinträchtigung der Versorgungsdienstleistungen dramatische Folgen für Wirtschaft, Staat und Gesellschaft in Deutschland. Die Verfügbarkeit und Sicherheit der IT-Systeme spielt somit, speziell im Bereich der Kritischen Infrastrukturen, eine wichtige und zentrale Rolle.
Bereits seit Juli 2015 sind Betreiber „kritischer Infrastrukturen“ laut IT-Sicherheitsgesetz verpflichtet, schwere Attacken auf ihre Computer-Systeme dem BSI zu melden. Viele Firmen scheuen sich jedoch oft, einen Angriff bekannt zu geben – aus Angst, ihren Ruf zu schädigen oder firmeninterne Daten preiszugeben. Ziel sei es, dass Unternehmen Vertrauen fassen und die neue „Cyber-Feuerwehr“ bei einer Attacke aktiv zu Hilfe rufen, heißt es. Es sei aber auch wünschenswert, dass sie das Recht erhalte, von sich aus einzugreifen. Ob das rechtlich möglich sei oder dafür gesetzliche Änderungen nötig seien, werde geprüft.
Fazit
Die Cyber-Feuerwehr soll also wie die echte Feuerwehr dahin gehen, wo es brennt – und so unkompliziert Hilfe leisten.
Das BSI bestätigte diese Pläne. Es äußerte sich dahingehend, dass man „Überlegungen angestellt, wie man Fachleute aus der Wirtschaft zur Unterstützung der im BSI geplanten Mobile Incident Response Teams (MIRT) einbinden kann. Die Arbeiten erfolgen unter dem Projektnamen ‚Cyberwehr‘.“ Die Überlegungen seien jedoch noch nicht abgeschlossen, daher könne man nicht zu Details Stellung nehmen.
Die Idee folgt der freiwilligen Hilfe, wie sie auch bei der freiwilligen Feuerwehr oder beim Technischen Hilfswerk greift. Man hilft, weil man sich auch auf die Hilfe Dritter verlassen kann, wenn Probleme auftauchen. Im Brandschutz funktioniert dieses Prinzip gut. Eine Vergütung ist in dem Vertrag nicht festgelegt. Die Teilnehmer müssen sich vielmehr verpflichten, dass sie den Angestellten die Zeit der Einsatzdauer als Arbeitszeit verbuchen und dass sie ihre Leute für die Leihdauer weiterbezahlen.
Viele organisatorische Fragen noch offen
Es sind noch viele weiteren Fragen ungeklärt. So kann man nicht garantieren, dass jemand bei einem Hilfseinsatz die Konkurrenz ausspäht. Strafen zumindest sind in einem solchen Fall bislang nicht vorgesehen. Auch will das BSI gegebenenfalls den angegriffenen Unternehmen im Zweifel nicht alles verraten, was es über die Angreifer erfahren hat. In Paragraf 19 des Vertragsentwurfes heißt es: „Die durch die Cyberwehr erlangten Erkenntnisse über den IT-Vorfall werden dem Betroffenen zur weiteren Verwendung […] zur Verfügung gestellt, soweit dem keine sicherheitsrelevanten Gründe entgegenstehen.“, was wohl bedeutet, dass das BSI der betroffenen Firma im Zweifel Informationen vorenthalten kann. Unklar wäre jedoch, welche Informationen das konkret sein könnten.
Ob Unternehmen bereit wären, bei der Cyber-Feuerwehr mitzumachen, lässt sich derzeit schlecht abschätzen. Die beiden digitalen Branchenverbände Bitkom und eco haben von dem Plan noch nie gehört. Auch bei der Telekom, einem der größten Arbeitgeber, wenn es um IT-Sicherheit geht, weiß man davon nichts. Genua, ein Unternehmen der Bundesdruckereigruppe, hingegen bestätigt, das Konzept zu kennen.
Win-Win-Situation?
Das BSI würde mit dieser Regelung auf jeden Fall gewinnen. Es würde über eine Auswahl an IT-Sicherheitsexperten verfügen können, die es selbst nicht bezahlen müsste. Aber nur, wenn man die benötigten Ressourcen effektiv zu bündelt, wird die Cyber-Feuerwehr zu einem effektiven Schutz des Cyberraums.
Tarnkappe.info
