EU: Meldepflicht für Banken bei Cyberattacken

Eine Meldepflicht für Cyberangriffe wird in der EU-Kommission schon länger

. Der Nachrichtenagentur Reuters liegt nun ein Strategiepapier vor, indem erstmals Details genannt werden. Laut dem Kommissionspapier sollen neben Banken und Börsen auch die Energie-, Gesundheits- und Verkehrsbranche zur Meldung von Cyberangriffen verpflichtet werden. Auch Internetanbieter und die öffentliche Verwaltung sind betroffen. Die Kommission schätzt, dass die Auflagen für etwa 44.000 Unternehmen gelten.

Kommissionsvizepräsidentin Neelie Kroes (Wettbewerb), ihre Kollegin Cecilia Malmström (Inneres) und die EU-Außenbeauftragte Catherine Ashton wollen die Richtlinie in den kommenden Monaten durchsetzen. Kroes hatte die Initiative im November angekündigt, weil die Selbstregulierung der Wirtschaft angesichts der Bedrohung nicht mehr ausreiche. Ziel sei, Sicherheit für Kommunikations- und Informationsnetze in der ganzen Union zu gewährleisten, heißt es jetzt in dem Papier.

Nationale Cybersicherheitsstrategien gefordert
Die EU-Staaten werden aufgefordert, eine nationale Strategie für den Kampf gegen Cyber-Kriminalität vorzulegen. Jede EU-Regierung muss eine zentrale Einrichtung für die Cyber-Abwehr aufbauen sowie Notfall- und Abwehrpläne erstellen. Die Firmen sollen verpflichtet werden, größere Vorfälle den nationalen Behörden zu melden. Auf EU-Ebene sollen Informationen ausgetauscht und gemeinsame Abwehrmaßnahmen koordiniert werden.

Hintergrund ist die wachsende Zahl von Angriffen nicht nur auf öffentliche Einrichtungen, sondern auch auf Firmen durch Angreifer, ausländische Regierungen und vermutlich auch extremistische Gruppen. Ins Visier nehmen die Angreifer dabei zunehmend auch die Betreiber wichtiger Infrastruktur wie Stromnetzen. Bundesinnenminister Hans-Peter Friedrich hatte gewarnt, dass eine moderne, vernetzte Volkswirtschaft durch Angriffe auf die Energieversorgung oder die Banken lahmgelegt werden könne.

Firmen scheuen Meldungen
Bei dem versuchten Eindringen in geschützte IT-Netzwerke der Firmen geht es nach Angaben von Sicherheitsbehörden zum einen um den Diebstahl wichtiger Daten, zum anderen aber auch um Sabotage. Vor allem börsennotierte Unternehmen scheuen aber eine Meldepflicht, weil sie Verunsicherung der Investoren fürchten, wenn Cyberangriffe bekanntwerden. Zudem gibt es Misstrauen, dass durch einen Informationsaustausch von EU-Regierungen Hinweise auf die eigene Verletzlichkeit auch an Wettbewerber gelangen könnten.

USA und Deutschland Vorreiter
Die EU-Kommission folgt mit ihrem Plan der amerikanischen und der deutschen Regierung. US-Präsident Barack Obama wollte bereits in der ersten Legislaturperiode eine Meldepflicht für Cyber-Attacken einführen, war damit aber zunächst im US-Kongress gescheitert. Nun will er einen zweiten Anlauf unternehmen.

Deutschland ist etwas weiter. Der deutsche Bundesinnenminister Hans-Peter Friedrich hat bereits einen Gesetzentwurf in die Ressortabstimmung

, der im März im Kabinett verabschiedet werden soll. Er sieht ebenfalls eine Meldepflicht für Firmen vor und will von den Betreibern kritischer Infrastruktur einfordern, sich gegen Angriffe zu schützen. Die Notfallpläne der Unternehmen sollen vom Bundesamt für Sicherheit in der Informationstechnik geprüft und abgenommen werden.

Anders als die EU-Kommission will Friedrich aber auch die Medien verpflichten, sich besser gegen Angriffe zu schützen und die Sicherheitsstandards zu verbessern. Zuletzt hatten führende US-Zeitungen berichtet, dass sich chinesische Hacker in das interne Redaktionsnetz eingewählt und die Passwörter sämtlicher Redakteure gestohlen hätten. Am Samstag wurden Attacken auf Nutzerdaten beim Kurznachrichtendienst Twitter

.

Aufruf zu gemeinsamen Anstrengungen
Vor dem Hintergrund immer neuer Angriffe auf Unternehmen und Institutionen riefen bei der Münchner Sicherheitskonferenz am Samstag Spitzen aus Politik und Wirtschaft zu einem gemeinsamen Kampf für mehr Cybersicherheit auf. Nötig sei eine gemeinsamen Kraftanstrengung von Regierungen, Wirtschaft und auch den einzelnen Internet-Nutzern, forderten der deutsche Bundesinnenminister Friedrich und der Direktor der amerikanischen National Security Agency (NSA), Keith Alexander.  Friedrich sagte, die Frage, wie Sicherheit im Cyber-Raum garantiert werden könne, sei eine entscheidende Frage des 21. Jahrhunderts. Die stellvertretende US-Heimatschutzministerin Jane Holl Lute mahnte, niemand könne es sich leiten, zuzusehen. Den Kampf für mehr Cybersicherheit könne keine Regierung alleine gewinnen.

Mehr zum Thema

• Cyberangriff auf Twitter
• Auch "Washington Post" Ziel von Cyberangriffen
• Firmen-Meldepflicht für Cyberangriffe geplant
• EU erwägt Meldeplicht nach Hackerangriffen