Seit dem 1. August gilt das neue IT-Sicherheitsgesetz. Es verpflichtet insbesondere Energieversorger, Telekommunikationsanbieter, Banken, und andere „kritische Infrastrukturen“ zu äußerst umfangreichen Sicherheitsmaßnahmen. Aber auch Betreiber von Webshops, Apps, Online-Games und sonstiger Internetdienste gehören zu den stark betroffenen Branchen.
DER NEUE § 13 ABS. 7 TMG
Der Wortlaut des neuen § 13 Abs. 7 TMG lautet dabei folgendermaßen:
7) Diensteanbieter haben, soweit dies technisch möglich und wirtschaftlich zumutbar ist, im Rahmen ihrer jeweiligen Verantwortlichkeit für geschäftsmäßig angebotene Telemedien durch technische und organisatorische Vorkehrungen sicherzustellen, dass
1. kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen möglich ist und
2. diese
a) gegen Verletzungen des Schutzes personenbezogener Daten und
b) gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind,
gesichert sind. Vorkehrungen nach Satz 1 müssen den Stand der Technik berücksichtigen. Eine Maßnahme nach Satz 1 ist insbesondere die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens.
GESCHÄFTSMÄSSIG ANGEBOTENE TELEMEDIEN?
Betroffen sind also Anbieter von „geschäftsmäßig angebotenen“ Telemedien. Dazu zählen auch Webseiten, Blogs, Shops, Online-Games und Apps die Online-Inhalte darstellen. Nicht dazu zählen reine Chats oder IP-Telefonielösungen.
Nicht ganz klar ist die Auslegung des Begriffes „geschäftsmäßig“. Geschäftsmäßig sind Telemedien dann, wenn sie nicht rein privat und nicht profitgerichtet betrieben werden. Die Rechtsprechung legt dies streng aus: Selbst ein im persönlichen Blog einer Privatperson geschaltetes Werbebanner gilt das als „geschäftsmäßig“. Da interessiert es auch nicht weiter, ob die Werbung überhaupt Umsatz bringt.
SCHUTZ VOR UNERLAUBTEM ZUGRIFF
Hierunter fallen Maßnahmen, die Server und Anwendungen nach außen absichern. Hierzu können beispielsweise Firewalls eingesetzt werden. Konkret gibt die Gesetzesbegründung aber auch regelmäßige Updates vor. In der Praxis schwierig umsetzbar ist die Gesetzesbegründung allerdings mit der Annahme, der Betreiber einer einzelnen Webseite könne einem großen Werbenetzwerk vertraglich konkrete Sicherheitsanforderungen auferlegen.
SCHUTZ PERSONENBEZOGENER DATEN
Hierunter fallen insbesondere Verschlüsselungsmechanismen. Das stellt das Gesetz auch in § 13 Abs. 7 klar fest. Hier lässt das Gesetz jedwede Maßnahme zu, die „als sicher anerkannt“ wird. Orientieren kann bzw. soll man sich dazu an den Richtlinien des Bundesamts für Sicherheit in der Informationstechnik (BSI). Die empfohlenen Verfahren sind allerdings größtenteils so streng, dass ihre Implementierung mit einem Aufwand verbunden ist, der das Maß der Zumutbarkeit regelmäßig übersteigen sollte. Es ist fraglich ob SSL-Zertifikate also genügen. Bekannt ist jedenfalls, dass viele SSL-Zertifikate inzwischen veraltet sind und Sicherheitslücken aufweisen, für deren Missbrauch man dann auch mit einem Bußgeld haftbar gemacht werden könnte. Darum sollte man im Zweifelsfall eher auf „TSL“ (Transport Layer Security), die Weiterentwicklung von SSL, zurückgreifen.
SCHUTZ VOR STÖRUNGEN VON AUSSEN
Hierunter fallen quasi Maßnahmen zur Abwehr von „Distributed Denial of Service (DDoS)“-Attacken. Bei solchen Angriffen werden Server und Dienste gezielt überlastet. Hier lässt das Gesetz offen wie man sich davor zu schützen hat. Dementsprechend bleibt hier abzuwarten welche Methoden sich als sinnvoll erweisen und was das Gesetz letztlich von den Betreibern in der Praxis erwartet.
TECHNISCH MÖGLICH UND WIRTSCHAFTLICH ZUMUTBAR
Für alle Maßnahmen aber gilt, dass sie „technisch möglich und wirtschaftlich zumutbar“ sein müssen. Jedes Unternehmen muss also im Einzelfall entscheiden. Der Vorteil: die Firma muss keine unverhältnismäßig hohen Investitionen in die IT-Sicherheit stecken. Der Nachteil: Man kann nicht immer sicher sein ob die Anforderungen des Gesetzes auch erfüllt sind. Insbesondere da das Gesetz nicht ausdrücklich zum Einsatz von Verschlüsselungsverfahren verpflichtet. Das Gesetz schreibt lediglich das „Ergreifen geeigneter Schutzmaßnahmen“ vor.
VERSTÖSSE WERDEN GEAHNDET
Verstöße können laut § 16 Abs. 2 Nr. 3 TMG mit Bußgeldern von bis zu 50.000 Euro geahndet werden. Allerdings betrifft dies nur fehlende Maßnahmen zum „Schutz gegen unerlaubten Zugriff“ und fehlende Maßnahmen zum „Schutz personenbezogener Daten“. Fehlende Maßnahmen zum „Schutz vor Störungen gegen Außen“ wird jedoch nicht mit Bußgeld belegt. In jedem Falle ist zu erwarten, dass es auch hier Versuche geben wird, unliebsame Marktbegleiter wegen versäumter IT-Sicherheitsmaßnahmen bei den Behörden zu verpfeifen.
FAZIT
Abschließend lässt sich nur mit Sicherheit sagen, dass das neue Gesetz „schwammig“ ist. Es fehlen präzise Angaben für eine ordnungsgemäße Umsetzung. Weder werden die Drittzugriffe, die man verhindern soll, präzisiert, noch nennt das Gesetz die Maßnahmen, die man als Unternehmen anwenden soll. Es fehlen zuverlässige Leitlinien für die Umsetzung der technischen Sicherungspflichten, was eine Rechtsunsicherheit schafft, die letztlich diejenigen mit möglicherweise hohen Bußgeldern trifft, die um eine ordnungsgemäße Erfüllung bemüht sind.
Allen Online-Händlern mit eigenen Webshops ist daher zu raten, die neuen Verpflichtungen ernst zu nehmen und nach bestem Wissen und Gewissen „geeignete Maßnahmen“ zu treffen um die von ihnen erhobenen personenbezogenen Daten zu schützen.