Bitkom/GFF: Schwachstellenmanagement für Behörden

Bitkom und GFF fordern verbindliches Schwachstellenmanagement für Behörden

Die Gesellschaft für Freiheitsrechte (GFF) und der IT-Verband Bitkom haben in einem gemeinsamen Papier dringende Reformen im Umgang staatlicher Stellen mit IT-Sicherheitslücken gefordert. Anlass ist die geplante Geheimdienstreform, die dem BND und dem Bundesamt für Verfassungsschutz erweiterte Befugnisse im Cyberspace einräumen soll – darunter Instrumente zur aktiven Cyberabwehr.

Beide Organisationen warnen vor großen Risiken: Wenn Behörden ein Interesse daran entwickeln, Schwachstellen offenzuhalten oder ihre Beseitigung zu verzögern, gefährde das Bürger, Firmen, Behörden und kritische Infrastrukturen. „Jede bekannte, aber nicht geschlossene Sicherheitslücke gefährdet die Sicherheit digitaler Systeme und das Grundrecht auf Vertraulichkeit und Integrität von IT-Systemen“, heißt es in dem Papier.

Bitkom und GFF stellen drei zentrale Forderungen auf: Grundsätzlich müsse die Behebung von Schwachstellen Vorrang haben. Wenn Nachrichtendienste eine Lücke entdecken, darf dies nicht automatisch dazu führen, dass sie operativ ausnutzen oder ihre Schließung verzögern. Soll eine Lücke ausnahmsweise offengehalten werden, müsse einer strenge, verbindliche und strukturierte Abwägung vorausgehen. Erforderlich seien klar definierte Kriterien, verpflichtende Maßnahmen zur Risikominderung und eine wirksame Kontrolle der Entscheidungen.

Ein weiterer Schwerpunkt ist der Schutz vertraulicher Meldewege. Sicherheitsforscher, Unternehmen und Institutionen müssten darauf vertrauen können, dass Informationen über Schwachstellen, die sie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) anvertrauen, geschützt bleiben. Die Organisationen fordern, eine Weitergabe solcher Informationen an die Dienste auf jeden Fall gesetzlich auszuschließen. Andernfalls könnten Sicherheitsforscher und Unternehmen davon abgehalten werden, entdeckte Schwachstellen zu melden – kritische Lücken würden dann womöglich verschwiegen.

2024 hatte sich die Ampel darauf geeinigt, Bundesbehörden zur Meldung bekannter Sicherheitslücken an das BSI zu verpflichten. Die Initiative schaffte es aber nicht mehr durch den Bundestag. Das Bundesinnenministerium wollte unlängst dazu verpflichten, sicherheitsrelevante Erkenntnisse inklusive noch nicht weithin bekannter Sicherheitslücken schon in frühen Phasen eines Angriffs an den BND zu übermitteln – was Bitkom und GFF entschieden ablehnen.

Quelle: heise online – Bürgerrechtler und Bitkom fordern strenges Schwachstellenmanagement (16.10.2026)