Wenn die Union regieren sollte, wird dann alles anders im Cyberbereich? Noch steht das Wahlprogramm der Union nicht, aber es gibt Themen, die dafür bereits diskutiert wurden. So ist in informierten Kreisen zu hören, dass zum Beispiel die Befugnisse für Sicherheitsbehörden eine Rolle spielen könnten. Darunter fällt auch die aktive Cyberabwehr.
Diese hatte Innenministerin Nancy Faeser (SPD) bereits auf ihrer Cybersicherheitsagenda stehen. Es hat sich aber bereits vor Monaten abgezeichnet, dass dieses Vorhaben in der Legislatur nicht mehr durchkommen wird. Faeser nutzte den Begriff aktive Cyberabwehr, um nicht mit dem Wort „Hackbacks“ zu polarisieren.
Sie meint damit, dass deutsche Sicherheitsbehörden fremde IT-Systeme aktiv abschalten können sollen, um kritische Cyberangriffe zu beenden. Auch dann, wenn sie aus dem Ausland kommen, was gravierende geopolitische Folgen haben könnte. Entsprechende Befugnisse wollte sie dem Bundeskriminalamt (BKA) zuweisen. In diese Richtung könnte es auch mit der Union gehen. Dort ist zu hören, dass man ebenfalls dem BKA entsprechende Befugnisse geben würde.
Außerdem möchte man das Nationale Cyber-Abwehrzentrum (NCAZ) ausweiten. Das Cyber-Abwehrzentrum wird von manchen derzeit als „Gesprächskreis“ bezeichnet, was im Ernstfall nicht ausreichend schützen kann (SZ Dossier berichtete). Die Union würde auch hier gerne entsprechende Kompetenzen ausweiten und klären, wer im Notfall schnell aktiv eingreifen und wer entscheiden darf.
Marc Henrichmann, der bei der Unionsfraktion für das Thema Cybersicherheit zuständig ist, sagte: „Wenn wir einen bundesweiten Cybervorfall haben, gibt es Behörden, die nicht eingreifen dürfen.“ Deshalb fordert er: „Im zahnlosen Gesprächskreis NCAZ braucht man jemanden, der das Sagen hat. Das könnte das BKA sein.“
Henrichmann fragte auch: „Warum nutzen wir nicht die Cyberkräfte der Bundeswehr, sodass die bei einem Krisenfall in Friedenszeiten zivil eingesetzt werden? So werden die vorhandenen Kompetenzen am besten genutzt.“ Hintergrund ist, dass es zurzeit in unterschiedlichen Behörden Cybersicherheitskompetenzen gibt – die Behörden aber jeweils nur in genau zugeschnittenen Situationen die rechtliche Möglichkeit haben, ihre Kompetenzen zu nutzen.
Ins Wahlprogramm könnte es auch das Thema Schwachstellenmanagement schaffen. Das Thema könnte im Rahmen der NIS-2-Umsetzung noch in dieser Legislatur durchkommen – auch wegen dieser Unwägbarkeiten ist das Wahlprogramm noch nicht final. Falls das Thema nicht über die EU-Richtlinie umgesetzt werden sollte, überschneiden sich aber auch hier die Vorstellungen der Union mit denen der Ampel: Schwachstellen sollen geschlossen werden – aber für die Nachrichtendienste nicht unverzüglich, da sie noch eine zeitliche Frist benötigen, bis sie ihre melden.
Wichtig ist der Union, wie auch anderen, das gemeinsame Lagebild. Wenn die Wirtschaft Cybervorfälle ans Bundesamt für Sicherheit in der Informationstechnik (BSI) meldet, soll sie auch mehr davon profitieren können. Etwa von einem Echtzeit-Lagebild – einem Bedrohungs-Dashboard, in dem betroffene Unternehmen direkt sehen können, ob sie als einzige von einem Cybervorfall betroffen sind oder ob es ein großflächiger Angriff ist. Außerdem sollen alle Bundesländer deutlich mehr involviert werden.
Bei den von Ampel-Abgeordneten diskutierten Themen Unabhängigkeit des BSI und die Position des Chief Information Security Officers für den Bund (CISO Bund) ist man ebenfalls nicht zu weit entfernt. Der CISO soll in der BSI-Leitung angesiedelt werden. Allerdings könnte es dieser Bereich realistischerweise nicht ins Unions-Wahlprogramm schaffen. Stattdessen könnte die Ausstattung des BSI thematisiert werden.
Generell könnten die Themen Cyberforschung, BSI-Kooperationen mit der Wirtschaft und IP-Adressenspeicherung im Wahlprogramm vorkommen. Möglicherweise auch Clouds und die Unabhängigkeit von Hyperscalern sowie der Schutz kritischer Infrastrukturen. Außerdem soll Datenschutz als Hemmnis darin vorkommen – etwas, was zumindest Grünen und FDP nicht gefallen würde.
„Ich wünsche mir eine andere Herangehensweise beim Thema Sicherheitsbehörden und Datenschutz, da sind wir zu defensiv“, sagte Henrichmann. „Wir bemerken dabei nicht, wie sehr wir schon im hybriden Kriegsszenario stecken.“ Aus Sicht der Bedrohungslage halte er es nicht für angemessen, wenn die Dienste ihre Informationen nur mit Sicherheitsbehörden teilen können.
Am 17. Dezember soll das Wahlprogramm in einer gemeinsamen Vorstandssitzung von CDU und CSU beschlossen und danach vorgestellt werden (SZ Dossier berichtete). Über konkrete Formulierungen will davor niemand sprechen. CDU-Generalsekretär Carsten Linnemann nannte aber zumindest schon drei Schwerpunkte: „Innere Sicherheit, Wirtschaft und gesellschaftlicher Zusammenhalt.“ Selina Bettendorf