Erste Fraktion im Deutschen Bundestag fordert ein Cyberhilfswerk

Die Fraktion der freien Demokraten im Deutschen Bundestag hat auf Drucksache 19/24632 einen Antrag mit dem Titel: „Pandemie als digitalen Weckruf ernst nehmen – Umfangreiche
Digitalisierungsstrategie vorlegen“ veröffentlicht.

Dort heißt es neben wichtigen anderen Positionen zu einer defensiven Cybersicherheitsstrategie und zu der Forderung eines unabhängigen BSI unter anderem auch:

Damit auch nach einer Großschadenslage im Cyberraum die Versorgung der Bevölkerung sichergestellt werden kann, sind weiterhin die vorhandenen Bewältigungskapazitäten im BSI zu erweitern, indem ergänzende, ehrenamtliche Strukturen nach Vorbild des THW geschaffen werden.

Der vollständige Antrag ist hier zu finden:

Damit ist die Fraktion der Freien Demokraten die erste Fraktion, die unsere Forderung zur Gründung eines Cyberhilfswerks aufgenommen und zur Fraktionsposition gemacht hat. Dies freut uns sehr, denn wir sind davon überzeugt, dass ein Cyberhilfswerk ein notwendiger und wichtiger Schritt zur Erhöhung der Versorgungssicherheit der Bevölkerung ist.

Gerne beraten wir bei Interesse alle Fraktionen im Deutschen Bundestag, wie sie die Gründung eines Cyberhilfswerk bestmöglich auf die eigene politische Agenda setzen.

Netzpolitik.org zum IT-SiG 2.0 und unserer Kommentierung

Nachdem wir unsere Stellungnahme zum #ITSIG20 veröffentlicht haben, hat Netzpolitik.org diese aufgegriffen und titelt treffend:

Innenministerium setzt zum voreiligen Endspurt an

Dabei werden nicht nur Meinungen der AG KRITIS aufgenommen, sondern auch von anderen Experten, wie Dennis-Kenji Kiper, berücksichtigt. Man kommt auch hier zum eindeutigen Ergebnis:

Fast zwei Jahre hat das Bundesinnenministerium am zweiten IT-Sicherheitsgesetz gearbeitet, nun soll es schnell gehen. Zu schnell, kritisieren IT-Sicherheitsexperten und Rechtswissenschaftler, denn es gibt noch viel Kritik. Expert:innen verlangen eine Notbremsung beim IT-Sicherheitsgesetz 2.0.

Den vollständigen Artikel findet Ihr hier:

 

Heise berichtet: IT-SIG-20 – Experten fordern „Notbremse“

 

Nachdem wir gestern unsere Stellungnahme zum #ITSIG20 veröffentlicht haben, hat Heise-Online diese aufgegriffen und wichtige Punkte noch einmal in einem längeren Beitrag dargestellt und nochmal unsere Kritik der Abkehr von evidenzbasiertem Vorgehen herausgestellt:

Darüber hinaus kritisieren die Experten, dass die im geltenden IT-Sicherheitsgesetz vorgesehene Evaluierung des Gesetzes unter Einbezug eines wissenschaftlichen Sachverständigen noch nicht passiert sei. Diese Überprüfung der Wirksamkeit der im ersten IT-Sicherheitsgesetz getroffenen Maßnahmen sei aber wichtig, „bevor eine Kompetenz- und Anforderungsausweitung mit dem neuen IT-SiG 2.0 vorgenommen wird“. Stattdessen werde „die Pflicht zur regelmäßigen Evaluierung mit diesem Entwurf vollständig entfernt“.

Den vollständigen Artikel findet Ihr hier:

 

 

Aufnahme im Nationalen Pakt Cybersicherheit

Das Bundesministerium des Inneren für Bau und Heimat hatte sich vorgenommen, einen Katalog aller Akteure zu erstellen, die im Bereich der Cybersicherheit in Deutschland aktiv sind.

Bislang fehlt jedoch ein vollumfassendes Bild aller Akteure und Initiativen in Deutschland, die sich tatsächlich mit dem Thema befassen, Informationen, Hilfestellungen, Dienstleistungen und Produkte anbieten oder forschen und entwickeln. Die Weiterentwicklung der Cybersicherheit auf gesamtgesellschaftlicher Ebene erfordert eine Berücksichtigung aller Interdependenzen als Ausgangsposition, welche nur eine ganzheitliche Perspektive liefern kann

Wir freuen uns sehr darüber, dass wir in diesem offiziellen Katalog aufgenommen wurden und bieten unser Fachwissen auch weiterhin allen Interessierten Personen, Organisationen, Institutionen und Behörden in Politik, Forschung, NGOs, Zivilgesellschaft und Wirtschaft an, wenn dies einer Steigerung der Versorgungssicherheit oder (Cyber-)Resilienz unserer kritischen Infrastrukturen zugute kommt.

Chaosradio Folge #263 – AG KRITIS

Am letzten Donnerstag des Monats sendet das Chaosradio des CCC seine monatliche Sendung. Wir wurden eingeladen, in dieser Sendung über KRITIS und das CHW zu reden. Zusammen mit dem Moderator Marcus Richter diskutieren Honkhase und Ijon die Fragen: Was sind die Ziele der AG KRITIS? Wie kann ein IT-Krisenfall aussehen? Was ist ein Cyber-Hilfswerk?

Süddeutsche Zeitung – Die Katastrophen-Software

Die Süddeutsche Zeitung berichtet  über die Fehlersuche anlässlich der Pannen am Warntag 2020. Das @AG KRITIS Mitglied @HonkHase bewertet dabei, wie gut das BBK und ihre Software für den Test aufgestellt war:

Diese Kommunikation ist im Fall des Warntags schiefgegangen. Manuel Atug, Gründer und Sprecher der AG Kritis, vermutet, dass dabei auch die Ressourcen-Ausstattung der zuständigen Behörde BBK eine Rolle spielen könnte: „Offenbar handelt es sich bei der Software nicht um einen verlässlichen Weg, der ausreichend getestet wurde und im Sinne des Anspruchs an ein Warnsystem belastbar ist,“ sagt Atug, der zusammen mit anderen Experten für kritische Infrastruktur nach der Entlassung Ungers in einem offenen Brief die mangelnde Fehlerkultur im Innenministerium kritisiert hatte.

Den vollständigen Artikel findet ihr hier:

ORF AM4 Blog – Dringende Warnung vor Hintertüren in Citrix-Systemen

Anlässlich der aktuell gegebenen Ransomware Erpressung der Uniklinik Düsseldorf hat der ORF in seinem AM4 Blog sich nochmal den Infektionsweg über Citrix / VPN-Gateways angeschaut. Dabei wird erneut hervorgehoben, wie lange die Sicherheitslücke bereits bekannt und in aktiver Ausnutzung war.

 

Die AG Krіtis, ein Nonprofit-Zusammenschluss deutscher Sicherheitsexperten, hatte bereits Anfang Jänner (Januar) vor Angriffen auf die kritische Infrastruktur gewarnt

 

Da wir von einem Told-you-so nichts haben, hier noch einmal der Link zur Herleitung unserer damaligen Forderung verbunden mit dem dringenden Hinweis an alle Entscheidungsträger.

 

Den vollständigen ORF-Artikel findet ihr hier.

Unabhängigkeit des BSI – Umsetzungsvorschläge der „Stiftung Neue Verantwortung“

Dr. Sven Herpig, Leiter für Internationale Cybersicherheitspolitik der „Stiftung Neue Verantwortung“, hat heute das Papier „Die „Unabhängigkeit“ des Bundesamtes für Sicherheit in der Informationstechnik“ veröffentlicht, in dem er die Probleme eines BSI als untergeordnete Behörde des Bundesministeriums des Inneren, für Bau und Heimat (BMI) beleuchtet und konkrete Lösungsvorschläge aufzeigt. Die AG KRITIS fordert seit ihrer Gründung ein unabhängiges BSI

Die fehlende Unabhängigkeit schwächt das Vertrauen der beteiligten Parteien, den Betreibern kritischer Infrastrukturen und der Bürger*innen in das BSI, da es durch die Fachaufsicht des BMI an dessen Weisungen gebunden ist. Das BMI hat jedoch auch die Fachaufsicht über das Bundeskriminalamt, das Bundesamt für Verfassungsschutz und die Bundespolizei. Die Aufgaben dieser Behörden stehen in einem Zielkonflikt mit dem Auftrag des BSI, für Sicherheit in der Informationstechnik zu sorgen. Zur Erfüllung der Aufgaben der genannten Behörden, haben diese ein Interesse daran, auf IT-Systeme zugreifen zu können, Überwachungsmaßnahmen durchzuführen und für diesen Zweck IT-Sicherheitslücken auszunutzen. Das BMI ist rechtlich in der Lage, das Schließen von Schwachstellen, die dem BSI als „nationale Cybersicherheitsbehörde“ gemeldet werden, durch eine Weisung zu unterbinden und die Schwachstelle ebendiesen Strafverfolgungsbehörden zur Nutzung zu übergeben. Wie Dr. Sven Herpig schreibt, könnte die Folge davon sein, dass „[…]der Informationsfluss [von IT-Sicherheitsforscher*innen an das BSI] abnehmen oder sogar versiegen [würde]. “

In der Kurzanalyse gibt die „Stiftung Neue Verantwortung“ konkrete Beispiele für konkrete Möglichkeiten der Reorganisierung des BSI: Neben einem Ressortwechsel in ein anderes Bundesministerium oder der Reduzierung der Aufsichtsfunktion auf die ausschließliche Rechtsaufsicht werden auch Möglichkeiten aufgezeigt, die eine noch weitergehende Unabhängigkeit des BSI beschreiben; u.a. der Einstufung des BSI als oberste Bundesbehörde oder der Installation des BSI als Informationssicherheitsbeauftragter des Bundes. Das Beleuchten der Vor- und Nachteile der verschiedenen Formen übersteigt den Umfang dieses Artikels, wir verweisen hier auf den lesenswerten Aufsatz von Dr. Sven Herpig.

Vielen Dank an Dr. Sven Herpig von der „Stiftung Neue Verantwortung“ für diese detaillierte Analyse.

heise online – AG KRITIS: Innenministerium verbummelt die Digitalisierung der Verwaltung

heise online berichtete über den Bericht der AG KRITIS, in der die AG KRITIS die immer noch fehlenden IT-Sicherheitsvorgaben für die Umsetzung des Onlinezugangsgesetz bemängelt. Auf Nachfrage von Heise äußerte sich das Bundesministerium des Inneren nun in folgender Weise:

die Rechtsverordnung zur IT-Sicherheit werde derzeit „mit Hochdruck erarbeitet“ und solle bis Ende 2020 erlassen werden. Allerdings gebe es noch keinen veröffentlichungsfähigen Entwurf. Man strebe einen frühestmöglichen Beschluss an, um für die beteiligten Akteure „größtmögliche Planungssicherheit“ herzustellen

Der vollständigen Artikel ist hier:

Süddeutsche Zeitung – Deutschlands Internet-Armee : Wozu dient die Cyberwehr?

Die Süddeutsche Zeitung hat über die aktuelle Ausrichtung und mögliche Einsatzgebiete des KdoCIR der Bundeswehr berichtet. In einem zuvor geführten Hintergrundgespräch schilderte @AG KRITIS Mitglied @HonkHase unsere Position:

Unabhängig von der Klärung dieser Frage warnen zivilgesellschaftliche Organisationen wie die AG KRITIS, die sich um die Sicherheit der kritischen Infrastruktur in Deutschland bemüht, vor einem Cyber-Wettrüsten zum Schaden der Bürger. Gegenseitige Feindaufklärung führe vor allem dazu, dass Systeme und Netze für die Allgemeinheit unsicher blieben. Kritische Schwachstellen würden nicht behoben, weil Armeen oder Geheimdienste sie noch für ihre Cyber-Kriegsvorbereitungen nutzen wollen und sie geheim halten. „Cyberwaffen können nicht so einfach gezielt eingesetzt werden wie Granaten oder Bomben. Das ist nur sehr schwer zu bewerkstelligen und erfordert hohen Ressourcenaufwand“, sagt Manuel Atug, Gründer und Sprecher der AG KRITIS. Wenn ein Wasserversorger oder ein Energieunternehmen zum Kollateralschaden eines Cyberangriffs wird, hat schnell auch die Bevölkerung ein Problem.

Den vollständigen Artikel findet ihr hier: