Auf netzpolitik.org wurde gestern ein Vorabdruck der Antwort auf eine kleine Anfrage der Fraktion Die Linke veröffentlicht (lokale Kopie), die nach Details zur in Arbeit befindlichen neuen Cybersicherheits-Strategie (CSS) fragen. Die neue CSS soll lt. Aussagen der Bundesregierung im Herbst vom Bundeskabinett ohne eine, den bisherigen Planungen zufolge parlamentarischen Beratung verabschiedet werden.
Die Planung der kommenden CSS sind unter anderem interessant hinsichtlich der möglichen kommenden Vernetzung von Bundeswehr und zivilen Diensten wie dem BND. Wie an dieser Stelle bereits öfter betont enthalten die Planungen des BMVg zum Aufbau eines eigenen Organisationsbereiches „Cyber und Informationsraum“ bei der Bundeswehr einige strukturelle Lücken die auch mit dem mittlerweile veröffentlichten Bundeswehr-Weißbuch nicht ausgeräumt wurden. Dies betrifft inbesondere die Frage, ob oder in welcher Form sich Bundeswehr-Hacker in Friedenszeiten in fremden Netzen bewegen dürfen oder ob solche vorgesehenen Tätigkeiten der Lagebildaufklärung durch dafür formelle befugte Dienste wie den BND erledigt werden. Darüber hinaus soll mit der neuen CSS eine „Zentralstelle für Informationstechnik im Sicherheitsbereich“ (Zitis) eingerichtet werden, deren Aufgabe die Erforschung und Versorgung der Dienste mit technischen Hilfsmitteln für den Einsatz im Cyberspace besteht. Entsprechende selbst entwickelte oder kommerzielle Hacking-Werkzeuge wären bei einem offensiven Einsatz durch Militärkräfte unter Umständen als Cyberwaffen zu betrachten – entsprechend kritisch haben in den vergangenen Monaten Parlamentarier immer wieder die Bundesregierung um Klärung zum Einsatz, den Regularien sowie der Kontrolle und den Grenzen einer militärischen Anwendung solcher Technologien gebeten.
Die jetzt veröffentlichte Antwort der Bundesregierung enthält mit Verweis auf laufende Abstimmungs-Prozeße der beteiligten Ressorts sowie der teilweisen geheimen Klassifikation von Informationen wenig konkrete Aussagen. Allerdings sind zwischen den Zeilen einige Planung unschwer zu erkennen.
Zum einen soll lt. Frage 11 die Bundeswehr weiter Bestandteil des nationalen Cyber-Abwehrzentrums (CyberAZ) bleiben, einer Einrichtung die unter anderem für die Vermengung der Dienste und ihrer Befugnisse kritisiert worden ist. Im Rahmen des (aus außenpolitischer Sicht rein national defensiven) CyberAZ könnte die Bundeswehr an Informationen über relevante Sicherheitslücken gelangen. Auch wenn in Antwort auf Frage 12 ausgeschlossen wird, dass derartige Informationen für den Ausbau der offensiv trainierende Hacker-Einheit der Bundeswehr (CNO – Computer Network Operations) genutzt werden sollen, wird nicht erklärt wie genau diese Trennung sichergestellt und bspw. parlamentarisch kontrollierbar gestaltet werden soll. Dem Wortlaut der Antwort zufolge wird zur Nutzung von relevanten Informationen keine Aussage getroffen.
Frage 12: Inwieweit sind CyberAZ und CERT in den Ausbau der für offensive Cyber-Einsätze trainierenden CNO Einheit der Bundeswehr eingebunden?
Antwort zur Frage 12)
Eine Einbindung des Cyber-AZ bzw. CERT-Bund in den Ausbau der CNO-Einheit der Bundeswehr (Computer Netzwerk Operation) ist nicht vorgesehen.
In Frage 13 wird auf die Zusammenarbeit und die Ressourcen-Teilung des für die Auslandsaufklärung befugten BND und der Bundeswehr für die Lagebildaufklärung in Friedenszeiten eingegangen. Eine konkrete Antwort auf diese Frage wird mit Verweis auf die notwendige Geheimhaltung dieser Information abgelehnt. Angesichts der bei Antworten der Bundesregierung sonst übliche Stil, ablehnende Antworten auf komplexe Fragestellung sehr oft mit einem simplen „Nein“ zu beantworten, kann die ausführliche Erläuterung zur Antwort auf Frage 13 mit der Wiederholung des Eingangs-Statements der Bundesregierung vermutlich als eine Zustimmung zur Frage bewertet werden.
Frage 13: Trifft es zu, dass der BND die „Lagebildaufklärung“ in fremden Netzen übernimmt oder übernehmen soll und seine Ressourcen im Konfliktfall den CNO-Kräften der Bundeswehr zur Verfügung stellt?
Antwort zu 13)
Die Beantwortung der Frage 13 kann aus Gründen des Staatswohls nicht in offener Form erfolgen. Die erbetenen Auskünfte sind geheimhaltungsbedürftig, weil sie Informationen enthalten, die im Zusammenhang mit der Arbeitsweise und Methodik des Bundesnachrichtendienstes und insbesondere seinen Aufklärungsaktivitäten und Analysemethoden stehen. Der Schutz vor allem der technischen Aufklärungsfähigkeiten des Bundesnachrichtendienstes im Bereich der Fernmeldeaufklärung stellt für die Aufgabenerfüllung des Bundesnachrichtendienstes einen überragend wichtigen Grundsatz dar. Er dient der Aufrechterhaltung der Effektivität nachrichtendienstlicher Informationsbeschaffung durch den Einsatz spezifischer Fähigkeiten und damit dem Staatswohl. Eine Veröffentlichung von Einzelheiten betreffend solcher Fähigkeiten würde zu einer wesentlichen Schwächung der den Nachrichtendiensten zur Verfügung stehenden Möglichkeiten zur Informationsgewinnung führen. Dies würde für die Auftragserfüllung des Bundesnachrichtendienstes erhebliche Nachteile zur Folge haben. Sie kann für die Interessen der Bundesrepublik Deutschland schädlich sein. Insofern könnte die Offenlegung entsprechender Informationen die Sicherheit der Bundesrepublik Deutschland gefährden oder ihren Interessen schweren Schaden zufügen. Deshalb sind die entsprechenden Informationen als Verschlusssache ge mäß der Allgemeinen VenNaItungsvorschrift des Bundesministeriums des Innern zum materiellen und organisatorischen Schutz von Verschlusssachen (VS-Anweisung – VSA) mit dem VS-Grad „GEHEIM“ eingestuft.
In der Antwort auf Frage 28 werden mehr oder minder indirekt die bisherigen Vermutungen zur geplanten „Zentralstelle für Informationstechnik im Sicherheitsbereich“ (Zitis) bestätigt, indem auf eine frühere Antwort Bundestagsdrucksache 18/9311 (lokale Kopie) verwiesen wird. Darin erklärt die Bundesregierung, dass entsprechende Pläne für eine technische Entwicklungs- und Ausrüstungsstelle bestehen:
Frage 28:
Ist es zutreffend, dass Pläne bestehen, wonach im BMI außerdem eine zentrale Stelle entstehen soll, die „Cyberwaffen“ (Hard- und Software zur Infiltration und aktivem Eindringen in fremde Computersysteme) beschafft und entwickelt und wenn ja, aus welchen Gründen wird dies für nötig erachtet und auf welcher jeweiligen Rechtsgrundlage soll dies passieren?Antwort 28 bzw. die referenzierte Antwort 1 aus BT-18/9311)
Es gibt im Bundesministerium des Innern (BMI) Überlegungen, wie die Sicherheits- und Strafverfolgungsbehörden besser als bisher in die Lage versetzt werden können, ihre bestehenden gesetzlichen Befugnisse effektiver nutzen zu können. Hierbei geht es um eine Anpassung der technischen Fähigkeiten an die aktuellen Herausforderungen der Kommunikationswelt. Die Überlegungen schließen die Möglichkeit einer Zentralisierung dieser Aufgaben ein. Als Schwerpunkte werden Forschungs- und Entwicklungsaufgaben im Bereich der Informations- und Kommunikationstechnik gesehen. Bestehende gesetzliche Befugnisse der Sicherheitsbehörden des Bundes bleiben unberührt, neue Befugnisse werden nicht geschaffen. Die Überlegungen sind noch nicht abgeschlossen.
Ein letztes interessantes Detail liefert die Antwort auf Frage 27, der zufolge das zentrale CERT der Bundeswehr (CERTBw) bei der Bearbeitung von IT-Sicherheitsvorkommnissen durch das US-Unternehmen Symantec unterstützt wird.
Insgesamt enthält die Antwort wenig greifbare Informationen. Hinsichtlich des massiven Ausbaus der Cyber-Fähigkeiten der Bundeswehr, der dafür benötigten Ressourcen und dem Umgang mit den verfassungsrechtlichen Grenzen von Bundeswehr-Operationen in Friedenszeiten und der parlamentarischen Mandatsverpflichtungen sprechen die zitierten Aussagen jedoch Bände.