Viele Zweifel ausgeräumt

Berlin (dpa) l Ein potenzieller Cyberangriff auf die Wasserversorgung, das Stromnetz oder die Kommunikationsnetze kann eine Gesellschaft empfindlich treffen. Als einen Baustein für den Schutz dagegen hat die Bundesregierung vor einem Jahr das IT-Sicherheitsgesetz auf den Weg gebracht. Nach anfänglicher Skepsis stößt es in der Wirtschaft inzwischen auf positive Resonanz. Viele Zweifel zur Machbarkeit sind ausgeräumt.

Das seit dem 25. Juli 2015 geltende Gesetz verpflichtet Betreiber kritischer Infrastrukturen wie Energie-Lieferanten, Telekom-Unternehmen oder Wasserbetriebe, ihre IT-Systeme angemessen zu sichern. Außerdem sieht es eine Meldepflicht bei schwereren Vorkommnissen vor. Die Umsetzung komme erst langsam ins Rollen, sagte Stephan Kohzer vom Bundesamt für Sicherheit in der Informationstechnik (BSI), der zentralen Anlaufstelle bei solchen Vorfällen.

Die ersten Entwürfe hätten damals noch für viel Bauchschmerzen gesorgt, erinnert sich Felix Esser vom Bundesverband der Deutschen Industrie. Die jetzige Ausgestaltung des Gesetzes sei aber begrüßenswert. „Wir sind überwiegend zufrieden.“ Das Innenministerium sei auf die Bedürfnisse der Unternehmen eingegangen.

Auf Kritik war etwa gestoßen, dass nach Inkrafttreten des Gesetzes über Monate hinweg unklar war, wer überhaupt zu den Betreibern von kritischen Infrastrukturen zählt und welche Kosten auf die Unternehmen zukommen. Auch die Meldepflicht bei kritischen Vorkommnissen war anfangs bei den Unternehmen auf Skepsis gestoßen, Kritikern wie den Netzaktivisten von Netzpolitik.org ging sie dagegen nicht weit genug. Die Meldepflicht soll sicherstellen, dass ein schnelles Eingreifen bei schweren Angriffen möglich ist und vor allem auch die Informationen über aktuelle Attacken schnell ausgetauscht und gemeinsam analysiert werden können.

Viele Unternehmen befürchteten eigenen wirtschaftlichen Schaden oder Imageverlust, wenn sie einen Vorfall öffentlich melden müssen. Inzwischen hätten das BSI und das Innenministerium konkrete Wege erarbeitet, über welche Kanäle kommuniziert werden muss. Große Vorbehalte gebe es heute nicht mehr – auch weil das BSI die Möglichkeit vorhalte, Vorfälle unter bestimmten Umständen anonym zu melden.