In der deutschen IT-Sicherheitslandschaft weckt die geplante Geheimdienstreform Sorgen. Die Bundesnachrichtendienst (BND) und das Bundesamt für Verfassungsschutz (BfV) könnten erweiterte Befugnisse in der Cyberspace erhalten. Dies weckt Sorgen um die Sicherheit digitaler Systeme und die Privatsphäre. Bürgerrechtler und IT-Verband Bitkom fordern verbindliche Regeln für den Umgang mit IT-Sicherheitslücken. Sie stellen drei zentrale Forderungen:
1. Vorrang der Behebung: Die Behebung von Sicherheitslücken sollte als erstes Ziel der staatlichen IT-Sicherheitsorganisationen sein. Jede bekannte, aber nicht geschlossene Sicherheitslücke gefährdet nicht nur die Sicherheit digitaler Systeme, sondern auch das Grundrecht auf Vertraulichkeit und Integrität von IT-Systemen.
2. Verantwortungsvolle Offenlegung: Verantwortungsvolle Offenlegung (Responsible Disclosure) und der Schutz betroffener Systeme sollten an erster Stelle stehen. Nachrichtendienste sollten nicht automatisch operativ ausnutzen oder die Schließung von Lücken verzögern, wenn sie eine Sicherheitslücke entdecken.
3. Strenge Abwägung: Wenn eine Lücke ausnahmsweise offengehalten werden muss, müsse eine strenge, verbindliche und strukturierte Abwägung vorausgehen. Dabei seien die Risiken einer weiteren Verbreitung und Ausnutzung gegen den konkreten operativen Nutzen zu stellen. Es seien klar definierte Kriterien, verpflichtende Maßnahmen zur Risikominderung und eine wirksame Kontrolle der Entscheidungen erforderlich.
GFF und Bitkom fordern auch, dass die Weitergabe solcher Informationen an die Bundesbehörden gesetzlich ausgeschlossen sei. Ein geregelter Umgang mit Schwachstellen sei nicht nur für die IT-Sicherheit, sondern auch für die Vertraulichkeit und Integrität von IT-Systemen von großer Bedeutung.