Bundestag erlaubt Behörden aktive Cyberabwehr, BSI warnt vor Lücken in Kühlanlagen

Der Bundestag hat am Donnerstag das Gesetz zur Stärkung der Cybersicherheit beschlossen. Es gibt dem Bundesamt für Sicherheit in der Informationstechnik (BSI), dem Bundeskriminalamt und der Bundespolizei neue Befugnisse, um Angriffe auf IT-Systeme nicht nur zu erkennen, sondern auch aktiv zu unterbinden. Dafür stimmten CDU/CSU und SPD, dagegen AfD, Grüne und Linke. Einen Tag später zeigte eine Warnung des BSI, wie verwundbar auch Technik im Alltag ist: Betroffen sind Steuerungen von Kühlanlagen, wie sie im Lebensmittelhandel eingesetzt werden.

Eingriffe in fremde Systeme

Nach dem Gesetz sollen die Behörden Angriffe besser aufklären können, auch langfristig angelegte Kampagnen, und Vorbereitungshandlungen früher erkennen. Reichen vorbeugende Maßnahmen nicht aus, dürfen sie einschreiten. Der Entwurf nennt dafür unter anderem Eingriffe in fremde IT-Systeme, das Löschen oder Verändern von Daten und das Umleiten von Datenverkehr. Bundesinnenminister Alexander Dobrindt (CSU) sprach von einem Wechsel von der Aufklärung zur Abwehr. Eine zugleich angenommene Entschließung verlangt von der Bundesregierung, die Cybersicherheitsstrategie weiterzuentwickeln und das Cyber-Abwehrzentrum als Koordinationsstelle im BSI zu stärken.

Kritik an Hackbacks und fehlender Kontrolle

Die Notwendigkeit einer stärkeren Abwehr war in der Anhörung des Innenausschusses Anfang Oktober unstrittig. Sachverständige bemängelten jedoch Richtervorbehalt, Kontrolle, Eingriffsschwellen und die Abgrenzung der Zuständigkeiten zwischen Bund und Ländern. Die Grünen halten das Gesetz für rechtlich unsicher und fragen, wer Verantwortung trägt, wenn eine falsche Zuordnung eines Angriffs eigene kritische Infrastruktur trifft. Die Linke wertet die aktive Abwehr als Hackback und sieht verfassungsrechtliche Grenzen überschritten. Der AfD geht der Entwurf nicht weit genug. Die SPD lehnt Hackbacks ab, will Abwehrmaßnahmen aber ermöglichen und Schäden gering halten.

Der Bundesrat hatte unter anderem eine richterliche Anordnung für Eingriffe des BKA in nicht private Systeme, verhältnismäßige Bußgelder und die Vermeidung doppelter Meldepflichten für Unternehmen gefordert. Die Bundesregierung lehnte die meisten Forderungen ab, kündigte aber eine Ergänzung des BKA-Gesetzes an.

Manipulierte Kühlregale

Am Freitag warnte das BSI nach jüngsten Angriffen vor fortbestehenden Schwachstellen in einer Steuerung für Kühlanlagen des Herstellers Danfoss. Bei den Angriffen wurden nach Angaben der Behörde Kühlregale in Supermärkten manipuliert, die dieses System nutzen. Der Hersteller habe bislang keine ausreichenden Sicherheitsupdates bereitgestellt, und auch neue Patches schlössen nicht aus, dass rasch weitere Lücken bekannt würden. Das BSI mahnt Betreiber, die Geräte nicht direkt über das Internet erreichbar zu machen und notwendige Verbindungen zu anderen Standorten über ein VPN abzusichern. Eine Woche zuvor hatten US-Behörden vor Angriffen auf vernetzte Temperaturregler im Lebensmittelhandel und in Kühlhäusern gewarnt, über die sich Temperaturen verändern lassen. Angaben zur Zahl betroffener Geräte oder Märkte in Deutschland liegen nicht vor.