Die Bedeutung der Informations- und Cybersicherheit bei der Umsetzung des Onlinezugangsgesetzes – Digitalisierung ja, aber (rechts)sicher!

Gehrt 2020, S. 1.

Della Veccia FH NW 2018.

Der Versand und Empfang von Informationen soll nicht in Abrede gestellt werden können. Die Nichtabstreitbarkeit der Herkunft: Der Absender, soll das Absenden einer bestimmten Nachricht nachträglich nicht bestreiten können. Die Nichtabstreitbarkeit des Erhalts: Der Empfänger, soll den Erhalt einer gesendeten Nachricht nachträglich nicht bestreiten können. https://​www.​secupedia.​info/​wiki/​Nichtabstreitbar​keit. Zugegriffen am 05.05.2020.

Kurzer aber instruktiver Überblick bei Beuckelmann 2017, S. 376.

Siehe das Beispiel Nordrhein-Westfalen, wo die Landesregierung die Seite für die Onlinebeantragung von Zuschüssen tagelang vom Netz nehmen musste, die Recherche von SZ, WDR und NDR hatte zuerst auf den Betrug hingewiesen, Willmroth (2020). Die Betrüger hinter der Fake-Seite wirtschaft-nrw.​info haben offenbar großen Aufwand betrieben. Selbst für Fachleute der Behörden war die Fälschung nicht auf den ersten Blick erkennbar. Den Recherchen zufolge befindet sich der Server der gefälschten Webseite in den USA. Die Betreiber verstecken sich hinter einem Verschleierungsservice aus Panama.

Bundesamt für Sicherheit in der Informationstechnik (BSI) 2019.

Bundesministerium des Innern (BMI) 2016, S. 7.

Infora Case Study: Die OZG-Umsetzung, Whitepaper 2020.

Berger, 2018a, S. 441; Berger 2018b, S. 799; siehe allgemein zum OZG auch Hoffmann 2017, S. 05488; ausführliche Kommentierung des OZG bei Denkhaus, Richter und Bostelmann 2019, 2. Abschnitt, S. 315 ff.

Einen sehr guten hochaktuellen Überblick über die Diversität des Themas Cybersecurity liefert Kipker 2020, Kapitel 1, Rn. 34 ff.; siehe auch die Ausführungen zu den rechtlichen Rahmenbedingungen ebd., Rn. 17 ff.; kongenial ergänzend mit dem Schwerpunkt IT-Sicherheitsrecht und dessen Grundlagen und Querschnittsfragen Hornung und Schallbruch 2021, Rn. 107 ff.

Nachfolgendes nach Schmidl 2010, S. 476.

Zum Zusammenhang zwischen NIS-RL und DS-GVO am Beispiel der Anforderungen an das Cloud Computing siehe Hoffmann 2017, S. 05488.

BMI 2016, S 5.

Ebd.

BMI 2016, S. 9.

JOIN (2013) 1 final.

BMI 2016, S. 5.

Der IT-Planungsrat (IT-PLR) wurde im Zuge der Föderalismuskommission II als Ergebnis der Verhandlungen in der Arbeitsgruppe 3 gegründet. Flankierend zur Einführung der neuen Art. 91c und des Grundgesetzes schlossen Bund und Ländern einen IT-Staatsvertrag, der das Nähere regelte. Der IT-PLR nahm am 22. April 2010 seine Arbeit auf. Zur Rechtsnatur des IT-Staatsvertrages und seiner Beschlüsse ausführlich Schulz und Tallich 2010, S. 1338 sowie Steinmetz 2011, S. 467. Steinmetz sieht eine demokratische Legitimierung der Beschlüsse des IT-PLR nur dann als gegeben an, wenn die vom IT-PLR beschlossenen Standards nur sehr restriktiv ausgelegt würden. Schulz/Tallich sehen es als problematisch an, dass die Verbindlichkeit der Beschlüsse des IT-Planungsrates erstmals in größerem Umfang die Möglichkeit erschaffen, dass Landesverwaltungen zur Umsetzung von Entscheidungen verpflichtet sind, die sie inhaltlich nicht mittragen. Denn das Handeln des IT-PLR sei von einem Konsenual-Prinzip gekennzeichnet. Beschlüsse des IT-PLR zu Standards seien hingegen verbindlich und kämen mit einem Mehrheitsbeschluss zustande. Siehe auch Schulz 2010, S. 225, der aus der Einführung des Art. 91c GG die Notwendigkeit von E-Government-Gesetzen ableitet.

Kooperationsgruppe „Informationssicherheit“ in der öffentlichen Verwaltung, Leitlinie für die Informationssicherheit in der öffentlichen Verwaltung, IT-Planungsratsbeschluss 2013/01.

Hierzu ausführlich cyber-peace.​org Parlakom Hack (Netzwerk des Bundes); laut dem Redaktionsnetzwerk Deutschland kostete der Hackerangriff den Deutschen Bundestag 1,4 Millionen Euro, RND 2017.

Zur Genese und Bewertung der Fortschritte siehe Roth 2015, S. 17. Im Vergleich zu dem Vorentwurf des Gesetzes habe es – so Roth – einige inhaltliche Änderungen gegeben, die grundsätzlich nicht zu beanstanden seien. Allerdings sei auch nicht erkennbar, dass gewisse Kritikpunkte beseitigt worden sind. Manche ließen sich schon wegen Sinn und Zweck des Gesetzes nicht vollständig abschaffen, wie z. B. die Meldepflichten. Die Befürchtungen der Wirtschaft wären und sind wahrscheinlich diesbezüglich überzogen. Insgesamt sei das Gesetz an manchen Stellen nicht viel klarer geworden, wobei man gewisse Regelungsschwierigkeiten bei der Materie anerkennen müsse. Auch wegen der Dynamik der technischen Entwicklung müsse hier mit unbestimmten Rechtsbegriffen und weiten Beurteilungsspielräumen gearbeitet werden. Letztlich müssten die Erfahrungen auch in der Praxis abgewartet werden. Leider sei auch nach wie vor die fehlende Abstimmung mit der geplanten NIS-RL zu bemängeln. Auch wenn der deutsche Gesetzgeber beabsichtige über die europarechtlichen Anforderungen hinaus schärfere Bestimmungen zu schaffen, sei zumindest eine stärkere Orientierung an den Regelungen und Begrifflichkeiten mit Blick auf eventuelle Auslegungsschwierigkeiten sinnvoll gewesen. Hier werde sich zwangsläufig noch Nachbesserungsbedarf ergeben, so lautet Roths Fazit, S. 22. Im Ergebnis mit dem Entwurf grds. zufrieden Roos 2015.

Zum BSIG ausführlich Buchberger 2019b Abschnitt Q.

Zu den Änderungen des TMG und die Auswirkungen für die Webseitenbetreiber siehe Schütze 2015, S. 04755.

Ross 2015, S. 636.

Siehe hierzu die Ausführungen unter 1.6.

Deshalb müssen die Länder eigene IT-Sicherheitsgesetze verabschieden, in Bayern, im Saarland, in Sachsen und in Niedersachsen ist das schon erfolgt, andere Länder werden nachziehen müssen.

Zu den einzelnen betroffenen Sektoren siehe für den Gesundheitsbereich Tschammler 2019, S. 509; zur Bankwirtschaft Frisse 2018, S. 177; zur Energiewirtschaft von Bremen 2020, S. 29.

Bis zum Erlass des IT-SiG galt das vom ehemaligen Bundesinnenminister Thomas de Maizière formulierte Prinzip der „roten Linie“. Also Beobachtung der einschlägigen KRITIS-Unternehmen, ob IT-Sicherheitsfälle freiwillig gemeldet werden; als Organ für den Austausch zwischen Bund, Ländern und den Betreibern Kritischer Infrastrukturen wurde der UP KRITIS gegründet. Der UP KRITIS ist eine öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen (KRITIS), deren Verbänden und den zuständigen staatlichen Stellen. Der UP KRITIS adressiert acht der neun Sektoren Kritischer Infrastrukturen. Der Sektor „Staat und Verwaltung“ wird durch den UP BUND abgedeckt. Zum UP-KRITIS siehe auch Möllers 2018 und Kipker 2017f. Bereits 2010 hat Hornung auf die Pflicht der Meldung von Datenpannen in Unternehmen auf Grundlage datenschutzrechtlichen Bestimmungen aufmerksam gemacht, Hornung 2010, S. 1841.

Siehe hierzu 1.5.

Roos 2015, S. 644.

Siehe hierzu die Ausführungen unter 1.7.

Übersicht bei Gitter, Meißner und Spauschuss 2015, S. 512.

Nachfolgendes nach Hornung 2015, S. 3334, 3340.

Hornung, a. a. O.

Gitter, Meißner und Spauschuss 2015, S. 512, 516.

Einige Länder haben bereits eigene Gesetze verabschiedet, Bayern, Sachsen, Saarland und Niedersachsen, andere planen diese (z. B. Bremen, Hessen).

Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union; siehe hierzu insbesondere Voigt und Gehrmann, 2016, S. 355 und den Vergleich zwischen NIS-RL und dem IT-Sicherheitsgesetz (IT-SiG) bei Kipker 2017e, S. 05261.

Anfangs stand der Bundesrat dieser RL sehr kritisch gegenüber, siehe hierzu Niederschrift der 637. Sitzung des Europa-Ausschusses. Der Richtlinienvorschlag genüge im Hinblick auf die Regelungen über die Verteilung der Verwaltungszuständigkeit nicht dem Grundsatz der Verhältnismäßigkeit gemäß Art. 5 Abs 4 EUV. Darüber hinaus sah der Bundesrat die Erforderlichkeit der in der RL vorgesehenen Einführung einer einheitlichen nationalen Behörde nicht gegeben. Der Bundesrat war weiter der Auffassung, dass Art. 14 des Richtlinienvorschlags nicht durch die gewählte allgemeine Binnenmarktkompetenz des Artikels 114 Abs 1 AEUV gedeckt sei, soweit Informationssysteme der öffentlichen Verwaltung generell in den Anwendungsbereich der Richtlinie einbezogen würden. Zu den Unterschieden zwischen Teil- und Vollharmonisierung Kipker 2020, S. 517 Die RL ist hinsichtlich der der durch sie verfolgten Ziele für die Mitgliedstaaten verbindlich. Den EU-Staaten ist aber die Wahl und Form der Mittel zu nationalen Umsetzung frei (sog. Teilharmonisierung). Die RL sieht aber auch IT-Sicherheitsanforderungen und Meldepflichten für Anbieter digitaler Dienste vor, über die die Mitgliedstaaten im nationalen Recht nicht hinausgehen dürfen (sog. Grundsatz der Vollharmonisierung).

Vgl. Ansip 2015, Pressemitteilung der Europäischen Union vom 8. Dezember 2015.

Zur NIS-Richtlinie ausführlich Kipker 2017e, S. 05261; vgl. hierzu Kipker 2017c, der das Chinesische Cyber Security Law von 2016 untersucht, dass ähnlich wie die NIS-Richtlinie Kritische Infrastrukturen sektoral bestimmt und gliedert.

Zur Gewährleistung der IT-Sicherheit Kritischer Infrastrukturen ausführlich Freimuth 2018. Zu den rechtlichen Verpflichtungen und deren Durchsetzung ausführlich Riehm und Meier 2020, S. 571.

Gesetz zur Umsetzung der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union, BGBl 2017, S. 1885.

Zum Aufgabenzuwachs beim BSI siehe Buchberger 2019a, S. 183.

Folgendes nach dem Vortrag und dem Skript von Beucher und Nolte, November 2019.

Zweites Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU – 2. DSAnpUG-EU).

Siehe hierzu ausführlich Klindt 2019, S. 665; Kipker 2019a, S. 414986; vgl. auch Kipker und Scholz 2019a, S. 41498; Kipker und Mueller 2019, S. 414291; Kipker 2017a, S. 395945; Kipker 2017b, S. 394677 und Kipker 2017d, S. 143.

Kipker und Scholz 2019a, S 41498.

Forsthoff 1938; zu der Geschichte des Begriffs und seiner Fortentwicklung siehe auch Doerfert 2006, S. 316 und grundsätzlich Lange 2014, S. 61.

Siehe hierzu auch Komorowski 2015, S. 4, der den allgemeinen Daseinsvorsorgevorbehalt des Art. 196 Abs. 2 AEUV untersucht und zu dem Schluss kommt, dass sein Vorschlag, Art. 106 Abs. 2 AEUV als allgemeinen Daseinsvorsorgevorbehalt zu rekonstruieren, sich im Kern gegen die Kolonisierung der demokratischen und sozialstaatlichen Verfassungssubstanz Europas durch den ökonomischen Imperativ richte.

Stolleis 2013, S. 247 ff., zitiert nach Meinel 2017, S. 129.

Siehe hierzu den Abschnitt III (Die staatliche Daseinsvorsorge als Destruktion des liberalen Verwaltungsrechts) bei Meinel, S. 134.

Zur historischen Entwicklung und Genese des Begriffs „Infrastruktur“ ausführlich Jellinghaus 2006.

Nachfolgendes nach Schäfer 2020a.

Schliesky 2019, S. 693, 701.

Schäfer 2020b.

Kment 2015, S. 927.

Zum Risikomanagement unter BSIG, BSI-KritisV, NIS-RL i.V.m. DS-GVO ausführlich Forgó 2019, Kapitel 4; Schmidt-Versteyl 2019, S. 1637.

Handreichung Deutscher Landkreistag 2017, S. 4 ff.; siehe auch Ruge 2019, S. 151 ff.

Zur Bedeutung der IT-Sicherheit in den Kommunen siehe auch Martini 2017, S. 443 und Schliesky, 2019, S. 693, zum kommunalen Mischkonzern Wilbert 2015, S. 213 und speziell zum Wasserrecht Leuck 2016, S. 830.

Handreichung Deutscher Landkreistag 2017, S. 5.

Handreichung Deutscher Landkreistag 2017, S. 5.

Handreichung Deutscher Landkreistag 2017, S. 5.

Handreichung Deutscher Landkreistag 2017,, S. 29.

Dasselbe gilt auch für KMU, siehe hierzu ausführlich Greveler und Reinermann 2015, S. 274; generell zum Einsatz von Angriffserkennungssystemen in Unternehmen Krügel 2017, S. 795.

Unter diesem Begriff werden allgemein Angriffstechniken zusammengefasst, die sich auf die gezielte Manipulation von Menschen beziehen, um Zugang zu Computersystemen zu erlangen. Ein Beispiel bildet die Vortäuschung bestimmter Identitäten, um angriffsrelevante Informationen von Mitarbeitern zu erhalten. Das Opfer dazu wird dabei dazu gebracht, Daten von sich aus einer ihm unbekannten Person mitzuteilen, mit denen dann missbräuchliche Zahlungen veranlasst werden. Eine Manipulation des Rechners des Opfers findet dabei nicht statt. Lange Zeit war die dazu wohl gängigste Methode der Täter der massenhafte Versand „gefälschter“ E-Mails. Diese stammten vermeintlich von der Bank des jeweiligen Opfers und baten dieses, seine Zugangsdaten und eine TAN zur Freischaltung seines angeblich gesperrten Online-Zugangs auf einer fremden Website einzugeben. Diese Website war mit der Banken-Website optisch identisch oder dieser zumindest ähnlich und besaß eine ähnliche Internetadresse, meist unter einer fremden Top-Level-Domain. Gab der Kunde seine Zugangsdaten auf einer solchen Website preis, verwendeten die Täter diese Daten, um sich bei der tatsächlichen Banken-Website anzumelden und Geld auf ein in der Regel EU-ausländisches Konto zu überweisen, siehe hierzu Kociok 2019 zu § 27 E-Payment und E-Invoicing Rn. 14, 15. Der Begriff wurde ursprünglich 1945 vom Sozialphilosophen Karl Popper in seinem Buch The Open Society and Its Enemies eingeführt. Dabei kritisierte Popper die Vorstellung, man könne sich eine ideale Gesellschaft vorstellen und dann darangehen, dieses Ideal zu verwirklichen; im Gegensatz dazu besteht von Popper befürwortetes Social Engineering darin, durch die Schaffung geeigneter Institutionen jeweils nur in Teilbereiche der Gesellschaft einzugreifen, um konkrete Probleme zu lösen. Populär wurde der Begriff in den frühen 1970er Jahren als Ausdruck des Optimismus, mit dem man damals glaubte, die menschliche Gesellschaft mit rationalen bzw. ingenieurmäßigen Methoden zum Besseren umgestalten zu können. Von Popper stammt auch der Begriff piecemeal social engineering: „Work for the elimination of concrete evils rather than for the realization of abstract goods“ auf deutsch „Arbeite eher für die Abschaffung der konkreten Übel als für die Verwirklichung abstrakter Güter“, Popper 1963, S. 361. Damit meinte er eine politische Strategie, der zufolge eine soziale Reformpolitik der kleinen Schritte abrupten Änderungen bzw. Revolutionen von sozialen Systemen vorzuziehen ist. Letzere radikale Politik definierte er als „Utopian social engineering“, Siehe hierzu ausführlich Popper 1992, S. 187.

Das vom Deutschen Landkreistag mit Unterstützung der Stadt Kassel betriebene IT-SiBe-Forum dient seit 2013 als nichtöffentliches Netzwerk dem Informations- und Erfahrungsaustausch für die mit Informationssicherheit befassten Beschäftigten der öffentlichen Verwaltung von Kommunen und Ländern.

Wilbert 2015, S. 213.

Die Business Judgment Rule gemäß § 93 Satz 2 AktG gehört zu den wichtigsten Bestimmungen des Haftungsrechts für Vorstände. Über die Verweisung in § 116 AktG gilt sie auch für Mitglieder des Aufsichtsrats. Liegen ihre Voraussetzungen vor, handelt das Verwaltungsmitglied schon objektiv nicht pflichtwidrig; der Vorstand kann daher auch nicht nach § 84 Abs. 3 aus wichtigem Grund abberufen werden, siehe hierzu ausführlich Kocher 2009, S. 215.

Stoklas 2016, S. 05146.

Stoklas 2016, S. 05146.

Stoklas 2016, S. 05146.

Einem Unterarbeitskreis des AK IT und eGovernment der kommunalen Spitzenverbände Hessen unter Federführung der Hessischen Ministerin für Digitale Strategie und Entwicklung, eingeladen sind die Landkreise, die kreisfreien Städte und die Sonderstatusstädte, die ekom21 und die hessischen kommunalen Spitzenverbände.

Ausführlich zum Thema lessons learned Vivien Voss im Kapitel „Die Implementation der europäischen Dienstleistungsrichtlinie. Lessons learned im Hinblick auf das Wirksamwerden der Single Digital Gateway-Verordnung und des Onlinezugangsgesetzes“ in diesem Buch.

So bereits in Ansätzen bei Djeffal 2019, S. 289; siehe auch Kipker und Scholz 2019b, S. 431, die den bei netzpolitik.​org im April 2019 geleakten (siehe hierzu Meister und Biselli 2020), aber laut Bundesregierung überholten, Referentenentwurf, kommentiert haben. Das Bundeskabinett hat am 16. Dezember 2020 den Entwurf für ein IT-SiG 2.0 beschlossen, Bundesinnenminister Seehofer bezeichnete den Entwurf als „Durchbruch für Deutschlands Cybersicherheit“, siehe Pressemitteilung des BMI vom 16.12.2020. Der Gesetzentwurf soll nach erfolgter Anhörung im Innenausschuss am 23. April 2021 vom Bundestag verabschiedet werden.