Scheinsicherheit

Kaum ist das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) in Kraft getreten, gibt es kritische Stimmen, vor allem über die unpräzisen Formulierungen und die nur halbherzige Herangehensweise. Es scheint auch wirklich naiv, wenn man Bundesinnenminister de Maizière hört, der behauptet, dass man mit dem IT-Sicherheitsgesetz „bei der Stärkung unserer IT-Systeme einen wichtigen Schritt voran gekommen“ sei.

Mir drängt sich der Eindruck auf, dass das Gesetz hektisch verabschiedet wurde, um in der Öffentlichkeit – auch vor dem Hintergrund der Hackerangriffe auf das Kanzleramt, den Bundestag und das Smartphone der deutschen Kanzlerin – ein Zeichen zu setzen: Man will demonstrieren, dass man sich des Problems annimmt – allerdings ohne wirklich effektiv etwas dagegen zu tun.

Hacker, Spione und Datendiebe sind mittlerweile so perfekt ausgerüstet und clever, dass man nicht wirklich glauben kann, dass diese sich durch Gesetze davon abhalten ließen, ihre kriminellen Aktivitäten fortzusetzen.

Ein wichtiger Faktor fehlt dem Gesetz: die Prävention. Was geschieht, um Angriffe zu vermeiden? Es reicht nicht aus, Meldungen über Schadensfälle, die bereits passiert sind, zu sammeln. So bleiben die „Bösen“ immer eine Nasenlänge voraus. Abgesehen davon, dass das Gesetz nicht in ein Gesamtkonzept eingebunden ist und so nur eine Insellösung darstellt.

Viele Unternehmen haben bereits Probleme, einen Minimalstandard an IT-Sicherheit zu gewährleisten. Der Grund ist nicht das Fehlen von Gesetzen und deren Sanktionsdrohungen. Zur Erhöhung der IT-Sicherheit dienen – noch vor den technischen Sicherheitsvorkehrungen – Prävention und Aufklärung der Anwender. Nicht Gesetze erhöhen die technische Sicherheit, sondern Menschen. Denen fehlt es an konkreten Vorgaben und Ausführungsanweisungen. Hier bieten sich Schulungen an. Sind Mitarbeiter für die Gefahren ausreichend sensibilisiert, lassen sich die Risiken minimieren. Das heißt allerdings, dass Aufklärungsprogramme für alle Mitarbeiter eines Unternehmens regelmäßig durchgeführt werden müssen. Wenn diese nur alibimäßig geschehen, führt es wieder nur zu einer Scheinsicherheit.