Offener Brief an die deutsche Bundesregierung: Cybersicherheitsstrategie für Deutschland 2021

24. Juni 2021

PDF Icon Der Brief als Dateidownload (PDF)

Sehr geehrte Damen und Herren,

die Bundesregierung plant wenige Monate vor der Bundestagswahl die Verabschiedung der „Cybersicherheitsstrategie für Deutschland 2021“. Diese Strategie ist von enormer Bedeutung, weil sie für Jahre die Weichen stellt, wie der Staat die Cybersicherheit in Deutschland gewährleistet, welche Verpflichtungen auf Unternehmen zukommen und welchen Schutz Bürger:innen erhalten.

Die Unterzeichnenden fordern die Bundesregierung dazu auf, die Verabschiedung der Cybersicherheitsstrategie auf die nächste Legislatur zu vertagen oder zumindest die Ausweitung der Befugnisse für die Sicherheitsbehörden ersatzlos zu streichen. Entscheidende Teile der Strategie sind bereits seit langem innerhalb der Bundesregierung hochumstritten und erhalten massive Kritik durch Vertreter:innen der deutschen Industrie, Wissenschaft und der Zivilgesellschaft.


Sollte die Strategie in ihrer jetzigen Form verabschiedet werden, würde dies auf Jahre eine Cybersicherheitspolitik zementieren, für die es keinen ausreichenden Rückhalt in Wirtschaft und Gesellschaft gibt und deren Maßnahmen wenig Aussicht darauf haben, die IT- und Cybersicherheit in Deutschland zu verbessern. Die Grabenkämpfe um die Ausrichtung der nationalen Cybersicherheitspolitik würden so fortgeführt – zu Lasten der Sicherheit in Deutschland.

Im aktuellen Entwurf der Cybersicherheitsstrategie finden sich eine Reihe an Maßnahmen, die auf Kosten der IT-Sicherheit die Überwachung durch deutsche Sicherheitsbehörden vorantreiben. Dazu gehört zum Beispiel die „Entwicklung technischer und operativer Lösungen für den rechtmäßigen Zugang zu Inhalten aus verschlüsselter Kommunikation [...]”, die Umgehung von sicherer Implementierung starker Verschlüsselung (lies: Hintertüren). Es handelt sich hierbei um eine Maßnahme, gegen die sich die deutsche Industrie, Wissenschaft, Zivilgesellschaft und Politik bereits 2019 in einem Offenen Brief ausgesprochen hat, weil sie ausländischen Nachrichtendiensten und Cyberkriminellen mehr nutzen würde als unseren Sicherheitsbehörden. Hinzu kommen die internationale Signalwirkung und die Auswirkungen für besonders schutzbedürftige Bevölkerungsgruppen, die so ein Vorhaben hätte.

Weiterhin fordert die Cybersicherheitsstrategie unter anderem Befugnisse zur Aktiven Cyberabwehr; eine Maßnahme die so umstritten ist, dass sich sogar die aktuelle Bundesregierung selbst dagegen entschieden hat sie voranzutreiben. Es handelt sich hierbei nicht etwa um eine minimale Befugniserweiterung, sondern um ein Legislativvorhaben, welches sehr wahrscheinlich in einer Grundgesetzänderung münden wird. Es ist damit definitiv ein Vorhaben, über dessen Platz in einer Strategie eine neue Bundesregierung entscheiden sollte.

Ein weiteres Problemfeld wird durch den geplanten Ausbau der Zentralstelle für Informationstechnik im Sicherheitsbereich (ZITiS) verdeutlicht: fehlende Kontroll- und Schutzmaßnahmen. Es gibt seit Jahren eine Kontroverse darüber, ob die „Hackerbehörde“ aufgrund ihrer Aufgaben statt eines Ministererlasses mit einem Errichtungsgesetz auf solide rechtliche Grundlage gestellt werden sollte, auch wenn es rechtlich nicht zwingend notwendig ist. Hierzu findet sich in der Strategie kein Wort.

Dieser Punkt zieht sich wie ein roter Faden durch die Strategie. Denn überhaupt fehlt der Strategie die im Koalitionsvertrag versprochene „gleichzeitige und entsprechende Ausweitung der parlamentarischen Kontrolle“ sowie die wirksame juristische und administrative Kontrolle, bei Ausweitung der Befugnisse der Sicherheitsbehörden. Dass die Bundes- und Landesregierungen statt dem Ausbau der Überwachungsbefugnisse die Kontroll- und Schutzmaßnahmen stärken müssten, zeigte jüngst der Skandal um die Datensammlung von Politiker:innen durch den Verfassungsschutz in Sachsen.

Dies stellt nur eine kleine Auswahl der problematischen Maßnahmen dar, die auf den über 120 Seiten, vor allem im Kapitel 8.3 der Strategie genannt werden.

Erschwerend kommt hinzu, dass die Bundesregierung erstmals Maßnahmen zum Controlling in eine Cybersicherheitsstrategie integrieren möchte. Was an sich eine begrüßenswerte Maßnahme ist, wird dadurch höchst problematisch, dass sich die aktuelle Bundesregierung daran nicht mehr halten muss, sondern es der kommenden Bundesregierung auferlegt. Ein Vertrag zu Lasten Dritter.

Im Namen guter Regierungsführung und effektiver IT- und Cybersicherheitspolitik fordern die Unterzeichnenden die Bundesregierung dazu auf alle Maßnahmen, die den Ausbau von Überwachungsbefugnissen statt der Stärkung der IT-Sicherheit zum Ziel haben ersatzlos zu streichen – im aktuellen Entwurf vom 9. Juni 2021 betrifft das mindestens die Maßnahmen 8.3.1, 8.3.7, 8.3.8, 8.3.9, 8.3.11, 8.3.12, 8.3.14, 8.4.7.

Aktuelle Unterzeichnende sind im verlinkten Dokument genannt.