Seitdem Künstlicher Intelligenz (KI) viele unserer Lebensbereiche durchdrungen hat, hat sich auch unsere Gesellschaft durch den Einsatz von KI an vielen Stellen verändert. Ein Bereich, welcher vermehrten durch den Einsatz von KI eine Veränderung erfährt, ist die IT-Sicherheit. Wahrnehmbar ist, dass insbesondere Cyber-Angriffe einen Wandel durchlaufen haben. Angriffe kommen schneller und sind ebenfalls qualitativ besser geworden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nunmehr eine explizite Warnmeldung zu dieser Thematik herausgegeben. Hierbei stellt das BSI u. a. heraus „KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich“. Die wichtigsten Aussagen aus der Sicherheitsinformation wollen wir in unserem heutigen Blog-Beitrag einmal näher darstellen.

Künstliche Intelligenz verändert die Cybersicherheitslage

Die „Ausgangslage“ ist relativ klar. Benötigten Angreifer bzw. mit den Worten des BSI „böswillige Akteure“ in der Vergangenheit noch enorme Aufwände an zeitlichen und finanziellen Ressourcen – z.B. für das Verfassen von Phising-E-Mails – so stoßen KI-Systeme in völlig neue Sphären vor. Innerhalb kürzester Zeitfenster ist es möglich Software zu analysieren und hierbei neue Schwachstellen und sog. Exploits zu erkennen.

Darüber hinaus profitieren die Angreifer „in besonderem Maße von der Geschwindigkeit, Skalierung und Automatisierung“.  Das BSI geht sogar soweit festzustellen, dass KI die „Dynamik von Schwachstellenentdeckung, Exploit-Entwicklung und Angriffsoperationen so stark, dass bisher tragfähige Verteidigungsannahmen unter erheblichen Druck geraten“. Dies ist selbstverständlich nicht gleichbedeutend, dass sämtliche bisher entwickelte Sicherheitsstrategien und -ansätze hinfällig wären. Nichts desto trotz sind Anpassungen, insbesondere hinsichtlich der Prozesse und Reaktionsmechanismen an die deutlich komplexere Bedrohungslage erforderlich.

Welche Risiken und Chancen bestehen?

Allen voran stellt sich eine neue Dynamik ein. Durch den Einsatz von KI entstehen eine viel höhere Geschwindigkeit und somit auch eine viel höhere Handlungsnotwendigkeit für das Erkennen und Reagieren von bzw. auf Angriffe(n): „Eine der zentralen Entwicklungen besteht darin, dass einerseits mehr Schwachstellen entdeckt werden, andererseits aber ebenso die Zeit zwischen Schwachstellen-Entdeckung und möglicher Ausnutzung massiv schrumpft bzw. auch weiter negativ wird – sogenannte Zero-Day Angriffe“.

Daneben spielt auch der Bereich des Social-Engineerings eine immer größere Rolle durch eine KI-getriebene Automatisierung von Angriffen: „KI kann ein Hilfsmittel für Angreifer darstellen, um effizient, zielgerichtete und schwer erkennbare Phishing-Kampagnen durchzuführen“. Zusätzlich können öffentlich verfügbare Informationen von Unternehmenswebseiten oder aus den sozialen Medien als zusätzliches Futter dienen oder für personalisierte Angriffe verwendet werden.

Zu guter Letzt bieten natürlich auch KI-Systeme selbst ein Einfallstor für Angreifer. Das BSI weist darauf hin, dass insbesondere große KI-Sprachmodelle (LLMs) und darauf basierende KI-Systeme weisen neue Klassen von Schwachstellen auf, etwa sogenannte Prompt Injections sowie Indirect Prompt Injections: „Dabei nutzen Angreifer entweder direkte Anfragen an KI-Systeme, um Konfigurationen zu ändern oder gar Code auf (internen) Systemen auszuführen oder verstecken Anweisungen, beispielsweise auf Webseiten, in Dokumenten oder E-Mails, die in der Folge durch einen LLM-Nutzer unwissentlich (Indirect) an das Modell weitergegeben werden und dessen Verhalten gezielt beeinflussen können.“

Allerdings bietet KI für Organisationen auch neue Möglichkeiten. So bietet sich die Möglichkeit die eigene IT-Infrastruktur auf Sicherheitslücke zu überprüfen, Inventarlisten zu aktualisieren und Synergien zu fehlenden Sach- oder Personalressourcen zu schaffen. Jedoch muss bei allen Überlegungen stets beachtet werden, dass KI-Tools lediglich eine ergänzende, niemals jedoch eine ersetzende Maßnahme darstellen sollten.

Welche Maßnahmen empfiehlt das BSI?

Erster und zu gleich wichtigster Aspekt ist die Annahme der neuen Herausforderungen durch die Wirtschaft und Verwaltung: „Organisationen müssen sich kurzfristig auf die neue Bedrohungslage einstellen und zielgerichtete Maßnahmen umsetzen“. Die im Folgenden gelisteten und durch das BSI dargestellten Sicherheitsmaßnahmen sind nicht neu entwickelt wurden, erlangen aber vermehrt an Bedeutung.

• Angriffsflächen kennen und minimieren: „IT-Sicherheitsverantwortliche sollten einen grundsätzlichen Überblick über alle in der Organisation betriebenen IT-Systeme und Anwendungen besitzen, um beim Aufkommen neuer Schwachstellen umgehend die eigene Betroffenheit bewerten und generelle Angriffswege auf die eigene Organisation erkennen zu können.“ Angeraten wird u. a. das Erstellen eines Assetregisters (nebenbei sei bemerkt, dies ist Bestandteil eines jeden Informationssicherheitsmanagementsystem), das Erkennen und Prüfen exponierter Dienste und sonstiger Zugänge sowie Netzwerksegmentierung und regelmäßige Penetrationtests.

• Patchmanagement: Ein effizientes Patchmanagement ist allein aufgrund der gestiegenen Anzahl von Schwachstellen essenziell. Hier nennt das BSI klassische Aspekte einer Patchstrategie: Ressourcen prüfen und kennen, Automatisierungen nutzen, Systeme priorisiere, Bewertungskriterien regelmäßig überprüfen, Erreichbarkeit der Organisation sicherstellen, End-of-Life bzw. End-of-Support Zeitpunkte von Soft- und Hardwareprodukten kennen. 

• Detektion und Vorfallsbearbeitung ausbauen: Das BSI führt an, dass mit der mit KI einhergehenden vereinfachten und erheblich beschleunigten Exploit-Entwicklung ein Ausnutzen von Zero-Day-Schwachstellen erheblich zunimmt. Damit steigt auch die Bedeutung der Detektion von verdächtigen Ereignissen. Empfohlen wird hier u.a. das Monitoring im Netzwerk bzw. auf IT-Systeme zu prüfen und zu verstärken, um Angriffe frühzeitig erkennen und Gegenmaßnahmen einleiten zu können. Von größerer Bedeutung ist zudem die laufende Protokollierung sowohl von Netzwerkverkehr als auch von Ereignissen, um Angriffe zu erkennen und Umfang und Zeitraum einer Kompromittierung zu kennen. Empfohlen werden zudem SIEM-Lösung (Security Information and Event Management) zur automatisierten Auswertung der Protokolldaten, Alarmierung im Falle von Auffälligkeiten sowie zur unverzüglichen Analyse und Reaktion auf mögliche IT-Sicherheitsvorfälle. Ebenso können IT-Sicherheitslösungen zur Detektion und Prävention von Angriffen wie EDR, XDR und AV-Lösungen Ansätzen bieten. Von zentraler Bedeutung ist außerdem die Kapazitäten zur Vofallsbearbeitung (Incident Response) bereits vorab zu analysieren, zu planen und bereitstellen zu können.

• Standardmaßnahmen umsetzen: Last but not least sollen Best-Practices zu Produkten und IT-Grundschutzmaßnahmen verifiziert und umgesetzt werden. Hierunter zählen z. B. Rechtevergaben prüfen, Multi-Faktor Authentifizierung nutzen und erzwingen, Betrieb und Test eines Backupmanagements, Beschäftigte sensibilisieren usw.

Fazit

Die IT-Sicherheitslage und allem voran die Cybersicherheit verändern sich immer schnelle und der Einsatz von KI-Systemen trägt hier noch im besonderen Maße bei. Das Tempo, in dem Schwachstellen entdeckt und ausgenutzt werden können erreicht einen neuen Höhepunkt. Organisationen sind in jedenfalls gut beraten die Entwicklungen rund um das Thema KI nicht nur als Trend aufzufassen, sondern als nachhaltige Veränderung der IT-Sicherheitslage. Außerdem ist es an der Zeit die eigenen Sicherheitsprozesse zu überprüfen und an die neuen Gegebenheiten anzupassen, um mit der wachsenden Dynamik der Bedrohungslage Schritt zu halten.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

„Die IT-Sicherheitslage in Deutschland bleibt auf angespanntem Niveau.“ So heißt es im aktuellen Bericht über „Die Lage der IT-Sicherheit in Deutschland 2025“, welcher erst jüngst durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht wurde. Umso wichtiger ist es in diesen Zeiten, dass sich Organisationen bereits im Vorfeld auf mögliche Störungen, Ereignisse oder Vorfälle vorbereiten und Pläne für den Ernstfall erarbeiten. Das gilt nicht nur für umsatzstarke Unternehmen, internationale Konzerne oder kritische Infrastrukturen, sondern eben auch für kleine und mittlere Unternehmen (KMU). Das BSI hat hierzu Anfang November eine Broschüre „Einstieg in das BCM für KMU“ veröffentlicht und bietet einen Leitfaden, wie Unternehmen mit begrenzten Ressourcen ihre Betriebsfähigkeit im Krisenfall sichern können.

Was ist Business Continuity Management und warum ist es wichtig?

Business Continuity Management (BCM) – also das Management der Geschäftskontinuität – umfasst die Gesamtheit der Methoden zur Reduzierung der Auswirkungen von Vorfall-, Notfall- und Krisensituationen. Diese Methoden umfassen dabei insbesondere die Bereitstellung von Notfallplänen und -prozessen, die Unterstützung einer raschen Wiederaufnahme der Geschäftstätigkeiten sowie die Stärkung der Resilienz gegenüber zukünftigen Angriffen. Umfragen zeigen, dass viele KMU bislang über kein systematisches Notfallmanagement verfügen. Dabei kann ein einziger Vorfall genügen, um den Geschäftsbetrieb zum Erliegen zu bringen. Ohne vorbereitete Notfallpläne ist in solchen Situationen oft unklar, wer was tun muss, um Schaden vom Unternehmen abzuwenden.

Das BCM gewinnt daher immer mehr an Bedeutung. Die Bedrohungslage durch Cyberangriffe (etwa Ransomware) wächst stetig und kann jederzeit auch KMU treffen. Gleichzeitig verpflichten neue regulatorische Vorgaben Unternehmen in vielen Branchen zu angemessenen Notfallvorsorgemaßnahmen. Hinzu kommt: Auch ohne eigene rechtliche Verpflichtung setzen Geschäftspartner ein solches immer öfter voraus. Fällt die Produktion eines kleinen Unternehmens aus, kann dies ganze Lieferketten stören. Die Resilienz der Lieferkette ist ein zentrales Anliegen der aktuellen Cyber­sicherheits­strategie – Ausfälle eines Zulieferers sollen nicht zum Stillstand aller nachgelagerten Unternehmen führen. Ein BCM kann auch dabei helfen, solche Dominoeffekte zu vermeiden und die Handlungsfähigkeit zu erhalten.

Ein Business Continuity Management umsetzen

Das BSI untergliedert im Rahmen der Broschüre BCM-Systeme (BCMS) grundsätzlich in drei verschiedene Stufen:

• Reaktiv-BCMS: Fokus auf kurzfristige Reaktion bei Ausfällen, mit einfachen Notfallplänen und geringem Ressourceneinsatz.

• Aufbau-BCMS: Integration präventiver Maßnahmen und systematische Analysen für wesentliche Bereiche des Unternehmens mit dem Fokus auf eine größere Widerstandsfähigkeit und Notfallstrategien.

• Standard-BCMS: Vollständig ausgereifte und an internationale Standards orientierte Vorgehensweise zur Sicherstellung eines durchgängig resilienten Betriebs bei jedweden Schadensereignissen.

Das BSI empfiehlt insbesondere für KMU den Einstieg über die Reaktiv-Stufe, da hier mit überschaubarem Aufwand eine erste Widerstandsfähigkeit erzeugt werden kann. Darüber hinaus ist ein schrittweiser Ausbau an die Bedürfnisse des jeweiligen Unternehmens möglich.

Während ein vollständiges BCM in der Regel aus einem Geschäftsfortführungsplan, einem Wiederanlaufplan sowie einem Wiederherstellungsplan besteht, bildet ausschließlich der Geschäftsfortführungsplan die Basis eines Reaktiv-BCMS. Hierin werden beispielsweise Alternativprozesse beschrieben, Ersatzressourcen festgelegt oder der Umfang an Notfallkommunikation definiert. Für die Umsetzung nennt die Broschüre konkret folgende Schritte:

• Vorbereitung: Identifikation und Priorisierung kritischer Geschäftsprozesse (z B. maximal tolerierbare Ausfallzeiten, erforderliche Ressourcen) sowie Definition von Sofortmaßnahmen, Notfall-Infrastrukturen und Verantwortlichkeiten.

• Dokumentation: Verschriftlichung von Prozessen und Verantwortlichkeiten sowie Bereitstellung von Checklisten für die Organisation und jeden einzelnen Geschäftsprozess.

• Übung und Simulation: Testen von relevanten Szenarien (z. B. Back-up-Wiederherstellung, Notstrombedarf, Ausfall einzelner Systeme) unter Einbindung der Beschäftigten.

• Evaluation und Anpassung: Berücksichtigung neuer Risiken, Veränderungen in der Infrastruktur sowie der Ergebnisse aus Übungen und Simulationen.

• Kontinuierliche Verbesserung.

Auch hierauf spezialisierte Dienstleister und standardisierte Lösungen (z. B. Managed Services) können KMU wirksam bei der Umsetzung eines Reaktiv-BCM unterstützen.

Fazit

Kurz gesagt: Ein Business Continuity Management ist für eine Vielzahl von Organisationen essenziell, um auch im Notfall den Geschäftsbetrieb fortführen zu können. Mit verständlichen Empfehlungen und einem schrittweisen Vorgehen lässt sich ein BCM auch ohne großes Expertenteam erfolgreich umsetzen. Wichtig ist, überhaupt anzufangen – denn jeder Schritt in Richtung Notfallvorsorge erhöht auch die Überlebensfähigkeit von kleinen und mittleren Unternehmen im Ernstfall.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Cyber Resilience Act (CRA) ist nicht nur ein weiterer europäischer Rechtsakt, sondern die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Ziel ist die Schaffung einheitlicher Sicherheitsstandards innerhalb der Europäischen Union, sodass Verbraucher und Organisationen besser vor digitalen Bedrohungen geschützt werden. Der Cyber Resilience Act ist bereits im Jahr 2024 verabschiedet und am 11. Dezember 2024 in Kraft getreten. Auch wenn die wesentlichen Anforderungen erst ab Dezember 2027 gelten, wird eine zentrale Norm bereits im Herbst 2026 anwendbar. Ein Überblick.

Anwendungsbereich des Cyber Resilience Act

Der Cyber Resilience Act gilt gemäß Art. 2 Abs. 1 CRA für nahezu sämtliche Hardware- und Software-Produkte, die direkt oder indirekt mit einem anderen Gerät oder einem Netzwerk verbunden werden können und ab Ende 2027 neu auf den Markt gebracht werden. Damit erfasst die Verordnung grundsätzlich ein sehr breites Spektrum an sogenannten „Produkten mit digitalen Elementen“, von einfachen Alltagsgeräten bis hin zu komplexen Industriemaschinen. Hierunter können beispielsweise intelligente Thermostate, Smart Meter, Router, Switches sowie vernetzte Maschinensteuerungen und Roboter fallen. Ausschlaggebend ist hierbei der Zielmarkt Europa – unabhängig davon, ob die betreffende Hard- oder Software etwa in Amerika, Asien oder anderen Teilen der Welt ihren Ursprung hat.

Hingegen nicht umfasst sind gemäß Art. 2 Abs. 2 – 4 CRA einige Produktkategorien, die bereits anderen spezialgesetzlichen Vorschriften der Europäischen Union unterliegen, zum Beispiel medizinische Geräte, bestimmte Kraftfahrzeugkomponenten oder Schiffsausrüstungen. Ferner ist kostenfreie Open-Source-Software ohne Gewinnerzielungsabsicht von den Anforderungen ausgenommen. KMU und Start-ups sind zwar von den Regelungen nicht ausgenommen, können jedoch auf Unterstützung mittels Leitlinien, Helpdesks und vereinfachten Dokumentationspflichten hoffen.

Ziele des Cyber Resilience Act

Mit dem Cyber Resilience Act verfolgt die Europäische Union das übergeordnete Ziel, die Cybersicherheit in der Union nachhaltig zu stärken. Insbesondere sollen hierbei Mindeststandards für die IT-Sicherheit EU-weit etabliert, digitale Risiken reduziert, die Verantwortung der Hersteller gestärkt sowie Verbraucher und Wirtschaft stärker geschützt werden. Der Cyber Resilience Act baut damit unmittelbar auf der Cybersicherheitsstrategie der Europäischen Union auf.

Wesentliche Pflichten und Maßnahmen des Cyber Resilience Act

Gemäß Art. 6 CRA werden Produkte mit digitalen Elementen nur dann auf den Markt bereitgestellt, wenn diese „den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“, ordnungsgemäß betrieben werden und „die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II entsprechen.“ Zu den jeweiligen Anforderungen gehören beispielsweise Security by Design & Default, ein kontinuierliches Schwachstellenmanagement und Updates, eine technische Dokumentation und ein Software-Stückverzeichnis („SBOM“ – Software Bill of Materials) sowie Konformitätsnachweise und CE-Kennzeichnungen. Weitergehende Anforderungen können in Zukunft für wichtige Produkte mit digitalen Elementen (z. B. Netzmanagementsysteme, Art. 7 CRA) sowie für kritische Produkte mit digitalen Elementen (z. B. Smart-Meter-Gateways, Art. 8 CRA) gelten.

All diese Anforderungen sind ab dem 11. Dezember 2027 für Produkte mit digitalen Elementen einschlägig, die entweder ab dem 11. Dezember 2027 in Verkehr gebracht werden oder die bereits zuvor in Verkehr gebracht wurden und nach diesem Zeitpunkt wesentlichen Änderungen unterliegen. Unabhängig davon gelten für sämtliche Hersteller von Produkten mit digitalen Inhalten, die in den Anwendungsbereich des Cyber Resilience Acts fallen, ab dem 11. September 2026 Meldepflichten gemäß Art. 14 CRA.

Gemäß Art. 14 Abs. 1 CRA hat ein Hersteller „jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt“ dem Computer Security Incident Response Team (CSIRT) sowie der Agentur der Europäischen Union für Cybersicherheit (ENISA) zu melden. Letztere ist verpflichtet für die Umsetzung der Meldepflichten eine einheitliche Meldeplattform bereitzustellen. Die Meldepflicht nach dem Cyber Resilience Act ergänzt bestehende europäische Regelungen, etwa die Meldepflichten nach der NIS-2-Richtlinie, ist jedoch produktbezogen und nicht auf Betreiber kritischer Infrastrukturen beschränkt.

Die Anforderungen des Art. 14 Abs. 2 CRA sehen grundsätzlich ein mehrstufiges Verfahren vor: Eine Erstmeldung ist innerhalb von 24 Stunden nach Kenntniserlangung verpflichtend. Diese Meldung enthält erste Angaben zum betroffenen Produkt, zur Art der Schwachstelle und zu möglichen Auswirkungen. Eine Folgemeldung mit detaillierteren Informationen muss innerhalb von 72 Stunden erfolgen, sobald weitere technische Erkenntnisse vorliegen. Darüber hinaus verlangt der Cyber Resilience Act, dass Hersteller binnen 14 Tagen nach der Erstmeldung einen vollständigen Bericht einreichen, der die Ursachenanalyse, ergriffene Gegenmaßnahmen und geplante Sicherheitsupdates dokumentiert.

Sanktionsmöglichkeiten

Der Cyber Resilience Act sieht in Artikel 64 bei Verstößen gegen zentrale Pflichten Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes vor. Bei weniger schwerwiegenden Verstößen können bis zu zehn Millionen Euro oder 2 % des Umsatzes verhängt werden. Zusätzlich dürfen Marktaufsichtsbehörden gemäß Art. 54 Abs. 5 CRA alle geeigneten Maßnahmen ergreifen, um die Bereitstellung von Produkten mit digitalen Elementen zu untersagen oder einzuschränken, das Produkt vom Markt zu nehmen oder es zurückzurufen.

Fazit

Der Cyber Resilience Act markiert einen Wendepunkt, indem er für Produkte mit digitalen Elementen IT-Sicherheit zur gesetzlichen Pflicht macht. Für Organisationen bedeutet dies kurzfristig einen Mehraufwand, bietet aber langfristig die Chance, durch nachweislich sichere Produkte Vertrauen bei Kunden aufzubauen. Wer früh handelt und die Vorgaben proaktiv umsetzt, sichert sich nicht nur die Compliance zum Stichtag, sondern verschafft sich auch einen Wettbewerbsvorteil in einer zunehmend digitalisierten Wirtschaft. Dabei sollte der Fokus zunächst auf die Umsetzung der Meldeverpflichtung gelegt werden. Weiterführende Informationen finden sich unter anderem auf der Seite des Bundesamt für Sicherheit in der Informationstechnik.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Das berechtigte Interesse nach Abwägung, von vielen nur als berechtigtes Interesse bezeichnet, nach Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO stellt zugleich eine der spannendsten und herausforderndsten Rechtsgrundlagen des Art. 6 Abs. 1 DS-GVO dar. Mit den Anforderungen an das berechtigte Interesse und die Abwägungsfragen im Rahmen der Interessenabwägung haben wir uns hier bereits früher beschäftigt.

Im Blickpunkt des heutigen Blog-Beitrags soll aber nicht der Tatbestand des Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO stehen, sondern Art. 6 Abs. 1 UAbs. 2 DS-GVO. Wer sich jetzt an dieser Stelle bereits fragt, was in dieser Norm geregelt ist beziehungsweise welcher Zusammenhang zum berechtigten Interesse nach Abwägung besteht, der steht vermutlich nicht allein da. Die potenziellen (praktischen) Herausforderungen bei der Anwendung von Art. 6 Abs. 1 UAbs. 2 DS-GVO haben wir bereits im Zusammenhang mit den Anforderungen an Art. 32 DS-GVO als Rechtsgrundlage dargestellt. Diese sollen heute ebenfalls noch einmal vertieft werden. Doch der Reihe nach.

Art. 6 Abs. 1 UAbs. 2 DS-GVO

So umfangreich stellt sich die Norm eigentlich nicht dar. Vielmehr heißt es kurz und prägnant: „Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.“ Zum besseren Verständnis kann Erwägungsgrund (ErwG) 47 Satz 5 DS-GVO – welche die Anwendung von Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO konkretisieren soll – noch herangezogen werden: „Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen.“

Nimmt man den Gesetzestext nunmehr wortwörtlich, dann wäre ein Rückgriff für Behörden (nicht öffentliche Stellen) auf das berechtigte Interesse nach Abwägung ausgeschlossen. Die Schwierigkeiten beginnen aber nun in der tatsächlichen Anwendung des Art. 6 Abs. 1 UAbs. 2 DS-GVO.

Der Rückgriff für Behörden im Bereich der IT- und Cybersicherheit

Richtet man nun den Blick auf Datenverarbeitungen im Bereich der IT- beziehungsweise Cybersicherheit so trifft man über kurz oder lang auch auf ErwG 49 DS-GVO, welcher das berechtigte Interesse im Rahmen von Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO konkretisieren soll. Dieser nennt nun ausdrücklich Behörden, Computer-Notdienste (Computer Emergency Response Teams – CERT, beziehungsweise Computer Security Incident Response Teams – CSIRT), Betreiber von elektronischen Kommunikationsnetzen und -diensten sowie durch Anbieter von Sicherheitstechnologien und -diensten als verantwortliche Stellen, welche sich auf die die Gewährleistung der Netz- und Informationssicherheit als berechtigtes Interesse berufen können. Besteht hier nun ein Widerspruch?

Bezüglich der Erwägungsgründe ist zu wissen, dass diese keine Verbindlichkeit beanspruchen, sodass weder Rechte noch Pflichten aus ihnen abzuleiten sind.  Sie sind grundsätzlich geeignete, wichtige Orientierungshilfen zur Auslegung, haben einen starken Charakter und sind Teil einer Verordnung, jedoch im Falle eines Widerspruchs zwischen Erwägungsgrund und Artikel, ist dem Artikeltext unmittelbar Vorrang einzuräumen.

Für die Konstellation des Art. 6 Abs. 1 UAbs. 2 DS-GVO und ErwG 49 DS-GVO bedeutet dies, dass die für die vom ErwG 49 DS-GVO explizit genannten und im öffentlichen Bereich angesiedelt Stellen, der Gesetzgeber für die notwendigen Datenverarbeitungen personenbezogener Daten auch die erforderlichen gesetzlichen Ermächtigungen schaffen muss.

IT-Sicherheit, eine originäre Aufgabe?

Die sich anschließende Frage, die in diesem Kontext aufgeworfen werden kann, ist, ob die Herstellung von IT- beziehungsweise Cybersicherheit als solche Verarbeitung überhaupt zu den originären Aufgaben einer öffentlichen Stelle zu zählen ist. Ein Rückgriff auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO könnte nur insoweit verwehrt sein, als dass die Datenverarbeitung in Erfüllung der öffentlichen Aufgaben vorgenommen wird.

Das Ergreifen entsprechender Sicherheitsmaßnahmen und die damit einhergehenden erforderlichen Verarbeitungen personenbezogener Daten könnten wiederrum als Verarbeitung im Interesse einer ordnungsgemäßen Verwaltung und des reibungslosen Funktionierens einer Behörde verstanden werden.  Dies würde letztendlich bedeuten, dass sich Behörden auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO insoweit stützen können, als sie sich mit dem Betroffenen in keinem spezifisch staatlichen Verhältnis befinden. Die sogenannte Eingriffs- und Leistungsverwaltung liegt im Bereich der IT-Sicherheit bzw. Cybersicherheit gerade nicht vor. Die Behörden befinden sich beim Ergreifen möglicher Sicherheitsmaßahmen zu Herstellung und Aufrechterhaltung der IT-Sicherheit bzw. Cybersicherheit weder in einem spezifischen staatlichen Verhältnis noch dient dies der Erfüllung originärer Aufgaben.

Folgt man dieser Einschätzung, wäre für Behörden im Bereich der IT-Sicherheit bzw. Cybersicherheit ein Rückgriff auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO nicht durch Art. 6 Abs. 1 UAbs. 2 DS-GVO gesperrt.

Wie sehen Aufsichtsbehörden die Rechtslage?

Zugegeben, die hier vertreten Ansicht wird nicht von allen gleichermaßen geteilt. Im seinem aktuellen Tätigkeitsbericht äußert sich beispielsweise der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) wie folgt:

„Ob die Gewährleistung der IT-Sicherheit zu den originären Aufgaben einer öffentlichen Stelle gehört, ist umstritten […]. Art. 6 Abs. 1 Buchst. e) DS-GVO erlaubt Datenverarbeitungen, die für die Wahrnehmung einer Aufgabe erforderlich sind, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die den Verantwortlichen übertragen wurde. Erwägungsgrund 49 DS-GVO bezeichnet die Verarbeitung von personenbezogenen Daten, die für die Gewährleistung der Netz- und Informationssicherheit unbedingt notwendig und verhältnismäßig ist, auch durch Behörden, als berechtigtes Interesse der Verantwortlichen. Die Aufgabe zur Gewährleistung von IT-Sicherheit wurde öffentlichen Stellen des Landes Baden-Württemberg durch mehrere Normen übertragen.“ Der LfDI lässt die Frage letztendlich offen und stützt sich bei seinen weiteren Ausführungen auf die jeweiligen Einzelnormen.

Die Sächsische Datenschutz- und Transparenzbeauftragte äußert sich in Ihrem aktuellen Tätigkeitsbericht zu einem entfernt vergleichbaren Thema – dem Einsatz von KI-Systemen wie folgt: „Die Datenschutz-Grundverordnung (DSGVO) setzt hierbei für öffentliche Stellen auch teilweise andere Voraussetzungen voraus als im nichtöffentlichen Bereich, insbesondere ist eine Verarbeitung auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 Buchstabe f DSGVO) nicht möglich.“

Fazit

Es wird sichtbar, dass die Anwendung des Art. 6 Abs. 1 UAbs. 2 DS-GVO nicht zu klar ist, wie sie beim ersten Lesen zunächst schient. Ein vermittelnder Ansatz könnte sich aus der Gesamtschau der Tatbestände des Art. 6 Abs. 1 DS-GVO ergeben: Ein Rückgriff auf Art. 6 Abs. 1 UAbs. 1 lit. f) DS-GVO ist nicht generell über Art. 6 UAbs. 2 DS-GVO ausgeschlossen wird, jedoch nur dann möglich ist, wenn die Datenverarbeitung weder zur Erfüllung einer rechtlichen Verpflichtung (lit. c)) erforderlich ist noch der hoheitlichen Aufgabenerfüllung dient (lit. e)) oder im Zusammenhang mit einer Vertragserfüllung (lit.b)) steht.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde am 20. März 2025 als alleinige staatliche Zertifizierungsstelle gemäß der Verordnung (EU) 2019/881 des Europäischen Parlamentes und Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013 (Rechtsakt zur Cybersicherheit), auch „Cybersecurity Act“ (CSA) genannt, bei der Europäischen Kommission notifiziert. Was hinter der Notifizierung steckt, welche gesetzliche Grundlage hier in Bezug genommen wird und welche Aufgaben und Zuständigkeiten in Zukunft auf das BSI zukommen, soll sich der heute Blog-Beitrag befassen.  

Welche Rolle spielt der CSA im IT-Sicherheitsrecht?

Eine Vielzahl von Rechtsnormen stellen mittlerweile Anforderungen an die Cybersicherheit oder fordern eine angemessene Sicherheit, IT-Sicherheit beziehungsweise Cybersicherheit. Gekennzeichnet ist das Rechtsgebiet des IT-Sicherheitsrechtes beziehungsweise der Cybersicherheit durch einen hohen Grad an Zersplitterung und teilweise uneinheitliche Regelungen. Innerhalb nur weniger Jahre wurden auf europäischer Ebene zahlreiche Regelungen mit Bezug zur Cybersicherheit verabschiedet oder auf den Weg gebracht. Hierzu zählen insbesondere der Cybersecurity Act, die NIS-2-Richtlinie, die KI-Verordnung sowie zuletzt der Cyber Resilience Act (CRA) und der Digital Operational Resilience Act (DORA).

Der CSA stellt einen Baustein der Cybersicherheitsarchitektur der Europäischen Union dar. Durch diesen Rechtsakt wird unter anderem die Agentur der Europäischen Union für Cybersicherheit (ENISA) etabliert und das Instrument der Cybersicherheitszertifizierung für Produkte, Dienstleistungen und Prozesse eingeführt. Der CSA zielt darauf ab, ein hohes Maß an Cybersicherheit, Cyberresilienz und Vertrauen in der Europäischen Union zu erreichen. Er stärkt die Rolle der ENISA (European Union Agency for Cybersecurity). Zudem etabliert er einen einheitlichen europäischen Zertifizierungsrahmen für IKT-Produkte, -Dienstleistungen und -Prozesse.

Was gibt es zu den Zertifizierungen zu wissen?

Insbesondere der Zertifizierungsrahmen der Artt. 46 ff. CSA verändert das Verfahren zur Entwicklung von Zertifizierungsschemata und die Zertifikatsvergabe in der Europäischen Union. Der CSA zielt darauf ab, einen organisatorischen und verfahrensrechtlichen Rahmen der Cybersicherheit fortzuentwickeln. Von Bedeutung ist hierbei, dass der CSA von einer freiwilligen Zertifizierung ausgeht, soweit durch europäisches Recht nichts Anderweitiges vorgegeben ist.

Kernelement des einheitlichen europäischen Rahmens im Bereich der Cybersicherheits-Zertifizierung sind die auszuarbeitenden Zertifizierungsschemata. Zu beachten ist, dass kein Zertifizierungsstandard oder -verfahren festgelegt, sondern ein Rahmenwerk für IT-Sicherheitszertifizierungen basierend auf Schemata für bestimmte Produkte, Dienstleistungen und Prozesse von Netz- und Informationssystemen geschaffen wird. Dies erfolgt anhand der drei unterschiedlichen Vertrauenswürdigkeitsstufen niedrig, mittel und hoch. Die Schemata entstehen unter anderem unter der ENISA und der Europäischen Kommission.

Damit wird auch deutlich, dass die Cyber-Zertifizierungen somit auf einem zwei-stufigen-Modell beruhen. Die Art. 46 ff. CSA schaffen einen rechtlichen Rahmen für die Entwicklung der Schemata und erst innerhalb der erschaffenen Schemata werden der Anwendungsbereich, die Art und der Umfang der Prüfung sowie sonstige Anforderungen festgelegt.

Zur weiteren Effizienzsteigerung des Cyber-Sicherheitszertifizierungsrahmen wird zudem in Art. 53 CSA die Möglichkeit geschaffen, dass Hersteller im Bereich der Vertrauenswürdigkeitsstufe niedrig eine vereinfachte Konformitätsbewertung durchführen lassen können. Dies wird aller Voraussicht nach insbesondere im Bereich Internet of Things zur Anwendung kommen.

Weiterhin wird nach Art. 55 CSA allen Produkten, Diensten oder Prozessen, die nach einem solchen Zertifizierungsschemata zertifiziert sind oder einer solchen vereinfachten Bewertung unterzogen wurden künftig eine Art „Beipackzettel“ mit Aussagen zu den spezifischen Sicherheitseigenschaften beizulegen sein. Schließlich sind nach Art. 58 CSA durch die Mitgliedstaaten eine oder mehrere Behörden für die Cybersicherheitszertifizierung zu benennen.

Was bedeutet die Notifizierung für das BSI?

Laut Pressemitteilung darf das BSI ab sofort Anträge von Herstellenden bearbeiten, die ein europäisches Cybersicherheitszertifikat für Produkte mit der Vertrauenswürdigkeitsstufe hoch erteilt bekommen wollen: „Zertifizierung auf dieser Vertrauenswürdigkeitsstufe bedeutet, dass Produkte einer Prüfung und Bewertung unterzogen werden, die darauf ausgerichtet ist, das Risiko von Cyberangriffen nach dem neuesten Stand der Technik durch Akteure mit umfangreichen Fähigkeiten und Ressourcen möglichst gering zu halten. […] Bisherige inhaltliche Divergenzen ausschließlich nationaler Zertifikate der Mitgliedstaaten werden von nun an vermieden.“

Das BSI in Person von Sandro Amendola, Leiter der Abteilung Standardisierung, Zertifizierung und Prüfung äußerst sich wie folgt: „[…] Das BSI erfüllt damit seine Aufgaben als zertifizierende und aufsichtführende Nationale Behörde für die Cybersicherheitsziertifizierung, der NCCA. Ab sofort ist es allen Herstellenden möglich, Produkte nach EUCC mit der Vertrauenswürdigkeitsstufe hoch durch das BSI zertifizieren zu lassen. Dabei konnte der Übergang von der nationalen CC-Zertifizierung hin zur europäischen EUCC-Zertifizierung ohne Unterbrechung gewährleistet werden.“

Fazit

Durch die Notifizierung des BSI als Zertifizierungsstelle wird zum einen die Wirkung und die Anwendung des CSA weiter vorangetrieben. Zum anderen greifen weitere Vorkehrungen der Sicherheitsarchitektur der Europäischen Union und fördern so das avisierte Ziel der Erhöhung der Cybersicherheit.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Längst nicht nur Unternehmen und Behörden geraten in das Visier von Cyberkriminellen. Auch Privatpersonen sollten ihre Informationen und digitalen Identitäten bestmöglich vor Bedrohungen schützen. Für Online-Konten stellt die sogenannte Zwei-Faktor-Authentisierung (oft abgekürzt mit 2FA) einen wirksamen Schutzmechanismus dar. Worum es sich hierbei handelt und für welche Anwendungsbereiche sich die Nutzung der Zwei-Faktor-Authentisierung empfiehlt, erfahren Sie im nachfolgenden Blog-Beitrag.

Was bedeutet Zwei-Faktor-Authentisierung?

Die Zwei-Faktor-Authentisierung ermöglicht eine deutlich bessere Absicherung von Online-Konten gegen unberechtigte Zugriffe, als das ausschließlich mittels eines Passwortschutzes möglich ist. Im Rahmen eines Anmeldevorgangs wird neben den klassischen Anmeldeinformationen, oftmals bestehend aus Benutzername oder E-Mail-Adresse und Passwort, zusätzlich noch ein weiterer Faktor, beispielsweise ein auf Anfrage per SMS zugesandter sechsstelliger Zahlencode benötigt.

Grundsätzlich kann zwischen folgenden Kategorien an Faktoren unterschieden werden:

• Wissen, z.B. Passwort oder PIN,
• Besitz, z.B. Chipkarte oder TAN-Generator und
• Biometrie, z.B. Fingerabdruck oder Retina.

Durch die Nutzung der Zwei-Faktor-Authentisierung werden zur erfolgreichen Bewältigung des Anmeldevorgangs also grundsätzlich zwei unterschiedliche der oben genannten Kategorien benötigt. Dies können somit Besitz und Wissen (Besitz der Bankkarte und Wissen der PIN), Besitz und Biometrie (Besitz des Smartphones und Verwendung des Fingerabdrucks) oder Wissen und Biometrie (Wissen eines Zugangscodes und Abgleich der Retina) sein.

Allen Anwendungsformen gemein ist, dass es Unbefugten erschwert wird, sich Zutritt oder Zugriff auf schützenswerte Informationen zu verschaffen. Wird für einen Anmeldevorgang die E-Mail-Adresse, das Passwort und ein zusätzlicher per SMS übersandter Zugangscode benötigt, muss die unbefugte Person Kenntnis über E-Mail-Adresse und Passwort und zugleich Zugriff auf das jeweilige Handy oder Smartphone des Konto-Inhabers haben. Unbefugte Zugriffe werden somit zunehmend unwahrscheinlicher.

Welche Formen der Zwei-Faktor-Authentisierung gibt es?

Die Zwei-Faktor-Authentisierung kann in unterschiedlichen Anwendungsformen umgesetzt werden, wobei im Alltag insbesondere zwei Formen anzutreffen sind:

• TAN/OTP-Systeme: TAN (Transaktionsnummer) und OTP (One-Time Password) basieren auf Einmalkennwörtern, die als zweiten Faktor verwendet werden. In der Vergangenheit wurden TAN auf Papierlisten bereitgestellt, nunmehr werden hauptsächlich TAN-Generatoren (Hardware) oder entsprechende Authenticator-Apps (Software) genutzt. Noch sicherer gelten eTAN und chipTAN, bei denen die TAN aus den Transaktionsdaten generiert werden. Ein weiterer Vertreter ist smsTAN.

• Kryptographische Token: Die Authentisierung erfolgt durch das Senden einer Anforderung an das Token (z.B. USB-Token), die das Token nur mithilfe eines privaten Schlüssels korrekt beantworten kann. Der Schlüssel kann als Softwarezertifikat gespeichert werden (z.B. ELSTER), sicherer ist die Speicherung in Hardware auf einer Chipkarte (HBCI, Signaturkarten) oder einem speziellen USB-Stick/NFC-Token (FIDO/U2F). Auch der Personalausweis enthält einen sicheren Schlüsselspeicher.

Was ist der Unterschied ziwschen Authentisierung und Authentifizierung?

Neben dem Begriff der Zwei-Faktor-Authentisierung findet sich oftmals auch der Begriff der Zwei-Faktor-Authentifizierung. Hintergrund ist hierbei, dass die Begriffe Authentisierung und Authentifizierung im allgemeinen Sprachgebrauch oftmals synonym verwendet werden.

Aus technischer Sicht beschreiben jedoch die beiden Begriffe verschiedene Teilprozesse eines Anmeldevorgangs: So erfolgt durch die Nutzenden eines Systems eine Authentisierung mittelst eindeutiger Anmeldeinformationen. Das System wiederum prüft die Gültigkeit der verwendeten Anmeldeinformationen und authentifiziert so die Nutzenden. Im Kontext unseres Themas ist somit der Begriff Zwei-Faktor-Authentisierung richtig. Im Zweifel ist jedoch nicht der Name entscheidend, sondern der Umstand, dass Sie dieses Verfahren nutzen!

Wo sollte ich eine Zwei-Faktor-Authentisierung nutzen?

Die Nutzung der Zwei-Faktor-Authentisierung bietet sich grundsätzlich in allen Bereichen an, in denen über Online-Konten sensible oder anderweitig schützenswerte Informationen verarbeitet werden. Das können beispielsweise sein:

• E-Mail-Postfächer: Das persönliche E-Mail-Postfach sollte gegen unberechtigte Zugriffe besonders geschützt werden: Einerseits da hierüber zum Teil auf eine große Anzahl persönlicher Informationen zugegriffen werden kann, andererseits da standardmäßig das E-Mail-Konto zum Zurücksetzen der Passwörter anderer Online-Konten verwendet wird. Hierbei ist jedoch oftmals die Einrichtung einer Zwei-Faktor-Authentisierung technisch nur dann möglich, wenn auf das E-Mail-Postfach per Browser zugegriffen wird.

• Soziale Netzwerke: Profile in sozialen Netzwerken können missbraucht werden, um auf sensible Inhalte zuzugreifen oder im Namen des Profilinhabers Inhalte zu posten und zu versenden. Die meisten Anbieter ermöglichen die Aktivierung der Zwei-Faktor-Authentisierung in den Kontoeinstellungen.

• Cloud-Speicherdienste: Je umfangreicher Cloud-Speicherdienste im Alltag genutzt werden, umso eher lassen sich darin auch besonders sensible Informationen finden. Das können beispielsweise Lohnabrechnungen, Steuerinformationen oder ärztliche Gutachten sein. Auch bei weniger sensiblen Informationen empfiehlt sich eine Absicherung mittels Zwei-Faktor-Authentisierung mit zunehmender Datenmenge.

• Gaming-Plattformen: Auch preisintensive Spiele oder eine umfangreiche Spielebibliothek kann aufgrund potenzieller wirtschaftlicher Schäden besonders schützenswert sein. Aus diesem Grund sollten auch solche digitalen Assets durch eine Zwei-Faktor-Authentisierung vor unberechtigten Zugriffen geschützt werden. Einige Anbieter stellen hierfür besondere Smartphone-Apps bereit.

• Zahlungsdienstleister: Auch Online-Konten bei Zahlungsdienstleistern oder bei sonstigen Online-Konten, in denen Zahlungsinformationen hinterlegt sind, sollte aufgrund potenzieller wirtschaftlicher Schäden bei unberechtigten Zugriffen eine Zwei-Faktor-Authentisierung über die Konteneinstellungen aktiviert werden. Bei Banken hingegen ist die Nutzung einer Zwei-Faktor-Authentisierung im Rahmen des Online-Bankings bereits gesetzlich vorgeschrieben.

Fazit

Die Zwei-Faktor-Authentisierung stellt ein sinnvolles Verfahren zur zusätzlichen Absicherung von Online-Konten dar. Auch wenn hierdurch der Anmeldevorgang geringfügig mehr Zeit in Anspruch nimmt, sollte diese überall – wo möglich – aktiviert werden. Denn so besteht auch bei Verlust der Anmeldeinformationen eine hohe Wahrscheinlichkeit, dass Unbefugte nicht auf die Online-Konten zugreifen können.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Am 7. und 8. Mai 2024 ist es wieder soweit: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) lädt zum Deutschen IT-Sicherheitskongress ein. Bereits zum 20. Mal findet die Veranstaltung statt, dieses Jahr wiederholt in digitaler Form. Motto des dies-jährigen Kongresses: „Cybernation Deutschland: Kooperation gewinnt“.

Cybernation Deutschland

Unter dem Thema Vision: Wir bauen gemeinsam die Cybernation Deutschland nimmt das BSI seine Aufgaben und Verantwortungen als integraler Bestandteil der Cybersicherheitsarchitektur wahr und arbeitet mit zahlreichen Kooperationspartnern zusammen. Den „Startschuss für die Cybernation Deutschland“ gaben die Bundesinnenministerin Nancy Faeser und die BSI-Präsidentin Claudia Plattner am 6. Februar 2024 im Rahmen der Eröffnung des neuen Nationalen IT-Lagezentrum.

Cybersicherheit wird zunehmend – wenn es dies nicht schon ist – zum allumfassenden Thema, dass alle Schichten durchdringt, sich auf die Wirtschaft ebenso auswirkt wie auf Gesellschaft und gleichermaßen Staat und Verwaltung betrifft. Dies ist zum einen darauf zurückzuführen, dass es eine zunehmende Verrechtlichung der Cybersicherheit durch zahlreiche neue Rechtsakte und stetig neue Rechtsprechung, zum Beispiel zur Frage der Haftung in der Folge von Cyber-Angriffen, gibt. Zum anderen sind alle Bereiche gleichermaßen der angespannten Sicherheitslage ausgesetzt, wie das BSI in seinem Bericht zur Lage der IT-Sicherheit in Deutschland 2023 augenöffnend dargelegt hat.

Durch die Vision Cybernation Deutschland sollen Cybersicherheit und Digitalisierung „erstklassig beherrscht“ werden. Hierfür wurden sechs strategische Ziele definiert:

• Cybersicherheit auf der Agenda haben
• Cyberresilienz substanziell erhöhen
• Technologiekompetenz gezielt nutzen
• Digitalisierung konsequent voranbringen
• Cybersicherheit pragmatisch gestalten
• Einen florierenden Cybermarkt Deutschland aufbauen

Der 20. Deutsche IT-Sicherheitskongress fügt sich daher nahtlos in die Umsetzung der Vision ein und leistet nach unserer Ansicht einen gewichtigen Teil zur Schaffung Cybersicherheit und gelungene Digitalisierung. 

Die Erforderlichkeit zur Prüfung von Dienstleistern aus Sicht der Informationssicherheit

Am 7. Mai 2024 im Block „Management von Informationssicherheit“ ist dieses Jahr auch das Dresdner Institut für Datenschutz (DID) mit einem Vortrag zum Thema „Die Erforderlichkeit zur Prüfung von Dienstleistern aus Sicht der Informationssicherheit“ vertreten. Max Just und ich berichten über dieses praxisrelevante Thema und freuen uns über einen spannenden Austausch.

Fazit

In den letzten Jahren erfreute sich der IT-Sicherheitskongress immer größerer Beliebtheit. Teilnehmerinnen und Teilnehmer dürfen sich regelmäßig über Live-Vorträge, Podiumsdiskussionen und virtuelle Messestände freuen und können sich so einen umfassenden Einblick in aktuelle Themen der Cybersicherheit verschaffen. Eine abrufbare Programmübersicht gibt einen guten Ausblick auf den Fahrplan der diesjährigen Veranstaltung. Die Anmeldung zum Kongress ist hier möglich. Die Teilnehme ist kostenfrei.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Vielerorts ist derzeit von einer Verrechtlichung der IT-Sicherheit oder dem neuen Cybersicherheitsrecht der Europäischen Union zu lesen. Insbesondere die NIS-2-Richtlinie und der Cyber Resilience Act sind in aller Munde und lösen zuweilen bei manchen Leitungsorgangen – vermutlich zu Recht – Schweißausbrüche aus. Bereits an dieser Stelle kann man sich aber durchaus fragen: In welchem Rechtsgebiet bewegen wir uns eigentlich? Wer genauer hinschaut fragt sich vielleicht auch: Was ist eigentlich der Unterschied zwischen IT-Sicherheit und Cybersicherheit? Gibt es denn überhaupt einen Unterschied? Und was hat das alles mit Informationssicherheit und Datenschutz zu tun? Im Nachfolgenden Beitrag sollen die unterschiedlichen Begrifflichkeiten einmal genauer betrachtet werden.

Was ist was?

Im Wesentlichen lassen sich fünf zentrale Begriffe unterscheiden: Informationssicherheit, IT-Sicherheit, Cybersicherheit sowie Datenschutz und Datensicherheit.

Die Informationssicherheit kann und sollte hierbei als genereller Oberbegriff verstanden werden. Mit Blick ins Gesetz bietet § 2 Abs. 2 Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz – BSIG) Hilfe. Hiernach ist unter Sicherheit in der Informationstechnik (im Sinne des BSIG) die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen in informationstechnischen Systemen, Komponenten oder Prozessen oder bei der Anwendung von informationstechnischen Systemen, Komponenten oder Prozessen zu verstehen.

Zur Beschreibung und Abgrenzung der Informationssicherheit ist mittlerweile weitgehend der Ansatz verbreitet, die Näherung durch eine Beschreibung anhand generischer Schutzziele, zu denen in aller erster Linie die Vertraulichkeit, die Integrität und die Verfügbarkeit zu zählen sind, vorzunehmen. Die Informationssicherheit befasst sich demnach mit der Sicherheit von in Daten enthaltenen Informationen vor unbefugter Offenlegung, Übermittlung, Veränderung und/oder Zerstörung – unabhängig davon, ob die in den Daten enthaltenen Informationen einen Personenbezug aufweisen und ob die Informationen digital oder analog verarbeitet werden. Die Informationssicherheit findet daher gleichwohl Anwendung für das betriebliche bzw. dienstliche Gedankengut der Beschäftigten einer Institution.

Weiterhin bestehen bei der Informationssicherheit in Abgrenzung zu den Begriffen des Datenschutzes und der Datensicherheit sowie der IT-Sicherheit und Cybersicherheit einige Überschneidungen, denen wir nun nachgehen wollen.

Die IT-Sicherheit speziell adressiert die Sicherheit von IT-Systemen. Von einem normativen Ansatzpunkt umfasst IT-Sicherheit den Schutz von Daten in Information- und Kommunikationssystemen vor Verlust oder Zerstörung, verursacht durch vorsätzliche oder nicht vorsätzliche Handlungen von Unbefugten. IT-Sicherheit und Informationssicherheit können einander bedingen, soweit eine digitale Datenverarbeitung erfolgt. Die rechtlichen Verpflichtungen zur Herstellung bzw. Aufrechterhaltung von IT-Sicherheit sind mittlerweile vielfältig. Hinsichtlich bestimmter Produkte oder Sektoren ergeben sich die einzuhaltenden IT-Sicherheitspflichten aus verschiedenen nationalen und internationalen spezialgesetzlichen Regelungen, z.B. §§ 165-169 Telekommunikationsgesetz, § 327 Abs. 3 Nr. 2 Bürgerliches Gesetzbuch, § 11 Energiewirtschaftsgesetz, § 44b Atomgesetz, … .

Unter Cybersicherheit bzw. Cybersecurity kann generell die Sicherheit von Informations- und Datenverarbeitungen im digitalen und vernetzten Raum verstanden werden. Die Unterscheidung zwischen IT-Sicherheit und Cybersicherheit ist insbesondere vor dem Hintergrund der immer weiter voranschreitenden Digitalisierung und Vernetzung nicht immer trennscharf möglich. In der breiten Öffentlichkeit hat sich insbesondere diese Begrifflichkeit zu einer Art Oberbegriff entwickelt, um die allgemeine Sicherheit von Informations- und Kommunikationstechniken zu umschreiben.

Eine gesetzliche Definition liefert unter Umständen Art. 2 Nr. 1 Cybersecurity Act. Danach bezeichnet Cybersicherheit alle Tätigkeiten, die notwendig sind, um Netz- und Informationssysteme, die Nutzer solcher Systeme und andere von Cyberbedrohungen betroffene Personen zu schützen. Weitere gesetzliche Anknüpfungspunkte sind die eingangs bereits erwähnte NIS-2-Richtlinie sowie der Cyber Resilience Act. In diesem Atemzug kann zudem der Digital Resilience Act genannt werden.

Der Datenschutz setzt sich weniger mit der Frage auseinander, wie Informationen physisch geschützt werden können, sondern konzentriert sich vorrangig auf die Voraussetzungen, die an das grundrechtlich gewährleistete Recht auf informationelle Selbstbestimmung anzulegen sind. Hauptanknüpfungspunkt für das Datenschutzrecht bilden die sogenannten personenbezogenen Daten. Unter dem Begriff personenbezogene Daten sind nach Art. 4 Nr. 1 DS-GVO alle Informationen zu verstehen, die sich auf eine identifizierte oder identifizierbare Person (betroffene Person) beziehen. Hierbei muss es sich nicht zwingend um besonders schützenswerte Daten handeln; dem Datenschutz unterliegen auch Informationen, wie zum Beispiel Namen, IP-Adressen sowie Foto- und Videoaufnahmen.

Wie der Begriff der personenbezogenen Daten zu verstehen bzw. auszulegen ist – auch vor dem Hintergrund aktueller Rechtsprechung haben wir hier bereits näher betrachtet. Zentrale Regelungsmaterien des Datenschutzrechtes sind die Datenschutz-Grundverordnung, das Bundesdatenschutzgesetz (BDSG) sowie die Landesdatenschutzgesetze.

Ein angemessenes Datenschutzniveau setzt stets ebenfalls voraus, dass technische und organisatorische Maßnahmen der Datensicherheit getroffen werden. Mithin adressiert die Datensicherheit in aller erster Linie das Datenschutzrecht soweit der technische und organisatorische Bereich im Mittelpunkt steht. Datensicherheit umfasst die Absicherung gegen unbefugte Offenlegung, Übermittlung, Veränderung und/oder Zerstörung personenbezogener Daten. Gesetzlich verankert ist die Datensicherheit insbesondere in Art. 5 Abs. 1 lit. f), Art. 24, Art. 25 und Art. 32 DS-GVO.

In diesem Zusammenhang ist es auch Gegenstand zahlreicher Diskussionen, dass die in Art. 32 DS-GVO normierte Sicherheit der Verarbeitung aufgrund der Schutzrichtung des Datenschutzrechtes von dem zuvor aufgezeigten Verständnis der IT-Sicherheit zu differenzieren ist. IT-Sicherheit und Datensicherheit bzw. Sicherheit der Verarbeitung sind demnach nicht dasselbe. Eine Unterscheidung der Begrifflichkeiten erscheint zumindest für eine exakte Gesetzesanwendung sowie -auslegung förderlich. 

Was bleibt?

Zunächst lässt sich zunächst feststellen, dass alle Begrifflichkeiten – Informationssicherheit, IT-Sicherheit, Cybersicherheit sowie Datenschutz und Datensicherheit – in Gesamtschau für ein Themengebiet stehen, dass aus Staat und Gesellschaft in der heutigen Welt nicht mehr wegzudenken ist. Hierbei ist nach unserer Ansicht Informationssicherheit als Oberbegriff zu verstehen. Gleiches gilt für Das Recht der Informationssicherheit als umfassendes Rechtsgebiet der zuvor näher beleuchteten Teilgebiete.

Unabhängig davon ist die Relevanz der Materie und mithin auch des Rechtsgebeites nicht länger zu vernachlässigen. Zu einschneidend sind die aktuellen Erfahrungen über steigende Angriffszahlen und Sicherheitsrisken wie jüngst aus dem Lagebericht des Bundesamt für Sicherheit in der Informationstechnik für das Jahr 2023 zu entnehmen ist. 

Fazit

Die Vielzahl gesetzlicher Regelungen im Bereich des Rechtes der Informationssicherheit verhindern zuweilen eine einheitliche juristische Definition der zentralen Sicherheitsbegriffe. Häufig ergeben sich unterschiedliche Begriffsverständnisse aufgrund von unterschiedlichen individuellem Vorverständnis, Beschreibungen der Gegenstandsbereiche oder aufgrund der Abgrenzung zu anderen Begrifflichkeiten. Weder der Gesetzgeber noch die technische Normung und Standardisierung geben einheitliche Begriffe vor.

Diese Vielschichtigkeit macht es nach unserer Ansicht erforderlich, dass Informationssicherheit ganzheitlich betrachtet wird. Nur die Informationssicherheit als Ganzes kann dafür sorgen, dass aus einem vormals noch „Nice-to-have-Aspekt“ ein konkret und insbesondere verbindliches Rechtsgebiet erwächst. Da die rechtliche Regulierung allerdings nicht ohne eine praxisgerechte Umsetzung auskommt, erfordert das Recht der Informationssicherheit zuweilen den bekannten „Blick über den Tellerrand“.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.