TMP

Kritischer Infrastrukturen

Tabelle zum IT-Sicherheitsgesetz

Änderungsvorschläge im BSIG

Änderung und Erweiterung von Begriffsdefinitionen
Neue Aufgaben und Befugnisse des BSI
Kontrolle der Kommunikationstechnik des Bundes, Betretensrechte
Warnungen und Untersuchung der Sicherheit in der Informationstechnik
Detektion von Sicherheitsrisiken für die Netz- und IT-Sicherheit und von Angriffsmethoden
Anordnungen des BSI gegenüber TK-Diensteanbietern
Anordnungen des BSI gegenüber TM-Diensteanbietern
Vorgaben des BSI für Mindeststandards in der Informationstechnik des Bundes
Meldestellenregelung für Kritische Infrastruktur
Sicherheitsanforderungen für Unternehmen im besonderen öffentlichen Interesse
Zertifizierung durch das BSI
Nationale Behörde für die EU-Cybersicherheitszertifizierung
Untersagung des Einsatzes kritischer Komponenten
Freiwilliges IT-Sicherheitskennzeichen
Bußgeldvorschriften

https://community.beck.de/2020/11/21/it-sicherheitsgesetz-20-dritter-referentenentwurf-veroeffentlicht

Das BSI soll neue Befugnisse bekommen und zur Hackerbehörde werden

Unsichere Systeme hacken und Daten per Fernzugriff löschen

Nicht mehr nur defensiv schützen und beraten

offensiv in IT-Systeme eindringen

Mehr Personal, Geld und Befugnisse

IT-Systeme von Staat, Bürgern und Wirtschaft besser schützen

Mehr Kompetenzen

Sicherheitslücken suchen
Informationen von Herstellern anfragen
Öffentlichkeit informieren

Kernaufgabe des BSI

Angriffe abzuwehren und Sicherheitslücken schließen

Interessenkonflikt

Polizei und Geheimdienste wollen Sicherheitslücken ausnutzen (Staatstrojaner)
Das BSI hat bereits staatliche Schadsoftware mitprogrammiert, aber öffentlich eine Beteiligung abgestritten

„Hack Back“

Der neue Entwurf verbietet dem BSI nicht, Sicherheitslücken geheim zu halten und an Hacker-Behörden wie das BKA oder den BND zu geben.

Fernzugriff auf Geräte im „Internet der Dinge“

BSI soll im Internet nach unsicheren Geräten suchen

Beispielsweise mit Portscans

Server
Smartphones
Schlecht abgesicherte Geräte im „Internet der Dinge“
Überwachungskameras, Kühlschränke oder Babyfone

Unsicher sind Systeme

mit veralteter Software
ohne Passwort-Schutz
mit Standard-Passwörtern wie „0000“ und „admin“

Um das herauszufinden muss sich das BSI darauf einloggen

Für Privatpersonen ist das eine Hacking-Straftat
Auch ohne Daten auszuspähen oder zu verändern

Betroffene sollen benachrichtigt werden

Wenn Sicherheitsprobleme oder Angriffe erkannt werden
Dafür sollen Telekommunikationsanbieter dem BSI etwa Bestandsdaten zu einer IP-Adresse übermitteln – also mitteilen, auf wen ein Internet-Anschluss registriert ist.

Installation lückenschließender Software

Weitere Befugnisse für das BSI

Angriffe auf Kritische Infrastrukturen soll das BSI blockieren oder umleiten

Potentiell schädliche Geräte zur Absicherung aktiv verändern

Provider zur „Bereinigung“ von IT-Geräten verpflichten
„Installation von lückenschließender Software (Patches) bzw. Löschung von Schadsoftware“

Klingt nach Stärkung der IT-Sicherheit

massive Ausweitung staatlicher Befugnisse
Eingriff in Grundrechte

Bots werden von zentralen Servern gesteuert

Internet-Verkehr der Kommando-Server umleiten
Kontrolle über das Botnetz übernehmen
„Bereinigungssoftware“ auf Bots ausliefern, um Schadsoftware zu entfernen
Da Nutzer oft nicht wissen, dass ihr Gerät befallen ist, will der Staat diese selbst säubern

„Andere europäische Staaten machen das auch“

so die Begründung

Darknet-Gesetz und digitaler Hausfriedensbruch

Gesetzentwurf verschärft Strafrecht

Wegen veröffentlichter privater Daten
Neue Straftatbestände eingeführt
Andere verschärft

„digitale Hausfriedensbruch“

„unbefugte Nutzung von IT-Systemen“
Vorschlag, den 2016 von Hessen in den Bundesrat eingebrachte, aber scheiterte
Die Bundesregierung sah keine Regelungslücken in den bisherigen Gesetzen

„Darknet“-Gesetz

Innenministerium übernimmt Initiative

Vordergründig soll das Betreiben illegaler Märkte kriminalisieren werden
Bedroht auch wünschenswerte Dienste und Anonymität im Internet

Polizei soll Nutzer-Accounts von Beschuldigten übernehmen

um damit zu ermitteln
„weil in den entsprechenden Szenen den langjährig aktiven Accounts ein großes Vertrauen entgegen gebracht wird“.
Zum Beispiel auf Plattformen, auf denen Darstellungen von sexualisiertem Kindesmissbrauch verbreitet werden

Von Verteidigung zum Angriff

Der Gesetzentwurf ist ein Rundumschlag

Viele Initiativen sind sinnvoll
Gütesiegel
Informationspflichten
Verbraucherschutz

Von defensiv zu offensiv

Grundlegend Neuausrichtung
Hack-Back
Verschweigen von Schwachstellen
Neue Hacker-Behörde
Ausweitung von staatlichem Hacking

Im Internet ist aber Verteidigung die beste Verteidigung