Mit einer einheitlichen Meldepflicht will sich die EU besser gegen künftige Cyber-Attacken wappnen. Brüssel will dazu größere Firmen und Verwaltungen per Gesetz verpflichten, Angriffe und große Sicherheitsvorfälle zu melden.
Die Meldepflicht soll nach den Plänen der EU-Kommission gesetzlich für Unternehmen in bestimmten Branchen festgeschrieben werden. EU-Medienkommissarin Neelie Kroes spricht im heute.de-Interview von einem Milliardenschaden durch Cyber-Angriffe und warnt: "Wir können alle gehackt werden." Cyber-Kriminalität sei ein Phänomen, das keine Grenzen kennt. "Wir sind nur stark, wenn wir zusammenarbeiten - und das ist bislang nicht wirklich der Fall."
Weitere Links zum Thema
Meldepflicht für viele Meldepflichtig wären Internet-Dienste wie Appstores, Suchmachschinen und soziale Netzwerke. Doch auch traditionelle Betreiber wichtiger Infrastruktur müssten Cyber-Angriffe melden: Banken und Börsen, Energieversorger, Eisenbahnen, Fluggesellschaften und Häfen, Krankenhäuser und öffentliche Verwaltungen.
Sicherheitslücken von Unternehmen könnten dann sogar der ganzen Welt offengelegt werden - im Dienste der Allgemeinheit. Die 27 EU-Staaten sollen zudem nationale Sicherheitszentren einrichten, die Cyber-Attacken vorbeugen, auf sie reagieren und sich über Vorfälle mit der EU-Kommission austauschen. In Deutschland gibt es bereits ein nationales Cyber-Abwehrzentrum.
Reaktionen aus der BrancheDie Initiative der EU ist in der Branche zunächst auf ein überwiegend positives Echo gestoßen. Allerdings sieht der Branchenverband Bitkom keine Notwendigkeit für eine gesetzliche Verpflichtung. Unter Umständen könne eine Veröffentlichung sich für die betroffenen Unternehmen sogar negativ auswirken, sagte Michael Barth, Experte für Cybersicherheit beim Bitkom. Es müsse vor allem genau definiert werden, was als Angriff oder große Sicherheitslücke gelten solle.
Das Information Security Forum ISF, das große Unternehmen in Sicherheitsfragen berät und unterstützt, hält dagegen eine europäische Lösung für längst überfällig. "Es ist höchste Zeit, dass die EU-Kommission das Thema Cybersicherheit auf die Agenda nimm", sagte Steve Durbin vom ISF. "Nationale Initiativen wie in Deutschland sind zwar wichtig, alleine können sie aber nicht für mehr Cybersicherheit sorgen." Allerdings fordert Durbin von Politik und Wirtschaft, praktikable Lösungen zu finden: "Im Extremfall hat die Veröffentlichung schwerwiegendere Folgen als der eigentliche Vorfall."
Die Befürchtung, dass vertrauliche Daten an die Öffentlichkeit gelangen könnten, hält Wieland Alge von den Netzwerkspezialisten Barracuda Networks dagegen für unbegründet. Dabei werde übersehen, dass Daten von Kunden betroffen seien, sagte Alge. Das Teilen des Wissens um Angriffe und Schwachstellen sei wichtig für eine effektive Verteidigung.
Kleine Unternehmen sind außen vor"Ein Unternehmen muss gewährleisten, dass es nicht zur Verteilerstation von Viren oder Schadprogrammen wird", urteilt Monika Hohlmeier (CSU). Allerdings könne das nicht heißen, alle Firmen unterschiedslos in die Pflicht zu nehmen. Kleinstunternehmen sind im Gesetzesplan jetzt schon außen vor. "Beim Mittelstand wird man sehr sorgfältig prüfen müssen, dass Kosten und Sicherheitsgewinn in einem vernünftigen Verhältnis stehen", kündigt die EU-Parlamentarierin an. Bisher sind laut Kommission europaweit einzig die Telekom-Unternehmen zur Meldung größerer Vorfälle verpflichtet.
Durch das Internet schwirren nach Angaben der EU-Kommission täglich 150.000 Computerviren. 148.000 Rechner werden demnach jeden Tag von den Schädlingen neu befallen. In der vergangenen Woche hatten drei große US-Zeitungen angegeben, Opfer von Hackerattacken geworden zu sein.
