20210913 Sicherheitslücken sind zu schließen, nicht auszunutzen!

13.09.2021 Sicherheitslücken sind zu schließen, nicht auszunutzen!
Sorry, most articles are not available in English yet

BVerfG drückt sich um Entscheidung

Der Chaos Computer Club Stuttgart hatte Beschwerde gegen das Polizei-Gesetz in Baden-Württemberg eingelegt, um mit dieser Verfassungsbeschwerde die Quellen-Telekommunikationsüberwachung zu kippen. Nach Meinung des CCCs kann es nicht sein, dass staatliche Stellen Schwachstellen in Software ausnutzen, um Überwachungsmaßnahmen durchzuführen.

Doch die Karlsruher Richter wiesen die Klage im Juni zurück, da "sie nicht hinreichend begründet sei". In ihrer Begründung machten sie jedoch deutlich, dass sie vom Staat erwarteten, dass er nicht einfach "Weiter so" beim Ausnutzen von IT-Schwachstellen handeln würde.

Im Beschluss des Gerichts mit dem Aktenzeichen 1 BvR 2771/18 steht dazu: "Die grundrechtliche Schutzpflicht" verlange eine Regelung, wie der "Zielkonflikt zwischen dem Schutz informationstechnischer Informationssysteme vor Angriffen Dritter mittels unbekannter IT-Sicherheitslücken einerseits und der Offenhaltung solcher Lücken zur Ermöglichung einer der Gefahrenabwehr dienenden Quellen-TKÜ andererseits grundrechtskonform aufzulösen" sei.

Diese Forderung wird bei den anstehenden Koalitionsverhandlungen nach der Bundestagswahl von der jetzigen Oppositionsparteien auf die Agenda gesetzt werden. In den letzten Jahren hatte sich die Regierung immer wieder um eine Festlegung zum Verfahren bei Sicherheitslücken in Computersystemen gedrückt. Dabei ist die Rechtslage eigentlich klar. Das BSI ist in Deutschland dafür zuständig Lücken zu registrieren und für ihre Schließung zu sorgen. Dafür wurden die Unternehmen verpflichtet sicherheitsrelevante Vorfälle ans BSI zu melden.

Eine Weitergabe solcher Informationen an Geheimdienste oder Polizei, um damit das "Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" (das ist ein Grundrecht für alle Menschen in Deutschland) zu gefährden, muss eine Straftat sein. Es darf nicht sein, dass Geheimdienste darüber entscheiden, welche IT-Schwachstellen "verantwortungsvoll" für Überwachungsmaßnahmen ausgenutzt werden dürfen und welche schnellstmöglich geschlossen werden sollen. Alle Sicherheitslücken stellen eine Gefahr für die Allgemeinheit dar!

Mehr dazu bei https://www.tagesschau.de/investigativ/ndr-wdr/spionagesoftware-nso-bka-105.html