Am kommenden Donnerstag berät der Innenausschuss über ein Gesetz, das in Zukunft für das Funktionieren der Landesverwaltung immer wichtiger werden dürfte: Es geht um den richtigen Umgang mit sogenannten Cyber-Angriffen, wie sie immer öfter vorkommen und immer professioneller ausgeführt werden. Das niedersächsische Sicherheitszentrum N-Cert hat in diesem Jahr bereits 90 Fälle gemeldet, in denen kriminelle Organisationen Schad-Software in Computern von Behörden oder Unternehmen installieren konnten – ohne dass eine kurzzeitige und effektive Abwehr möglich war. Zwar ist es bisher immer gelungen, die Probleme zu lösen. Wiederholt wurden die Betroffenen erpresst, mussten ein Lösegeld überweisen und erhielten dann ihre verschlüsselten und unzugänglich gemachten Daten zurück.

Enge Zusammenarbeit mit BSI geplant

Im Landtag berät die Koalition aus SPD und CDU nun seit Monaten darüber, wie die Abwehrmechanismen der Landesverwaltung gegenüber diesen Aktivitäten effektiver ausgestaltet werden können. Ein erster Entwurf des Innenministeriums für ein „Gesetz zum Schutz der digitalen Verwaltung“ (NDIG) war im Februar von Fachleuten im Innenausschuss diskutiert worden. Dabei sind mehrere Mängel festgestellt worden – und in einer gemeinsamen Aktion von CDU und SPD wurden einige Passagen verworfen und Neuerungen und in einen Änderungsantrag gepackt, der den Ursprungsentwurf des Innenministeriums nun wesentlich verschärft.

Maßgeblich und vorantreibend trat bei diesem Thema Sebastian Lechner (CDU) in Aktion, Ulrich Watermann von der SPD sicherte ihm die nötige Unterstützung der größten Fraktion. So wird jetzt wesentlich eine enge Zusammenarbeit mit Bundesamt für Sicherheit in der Informationstechnik (BSI) geplant. Diese Fachbehörde soll früh einschaltet werden, wenn in Niedersachsen Behörden betroffen sind – und mit ihrem Spezialwissen jederzeit gegensteuern können. Dazu muss allerdings noch das BSI-Gesetz auf Bundesebene angepasst werden, was bis Jahresende geplant ist. Wenn Landes- und Bundesrecht übereinstimmen, soll Niedersachsen das erste Bundesland werden, in dem ein Schlachtplan für einen effektiven Einsatz gegen Cyberkriminalität besteht. Damit soll das Land in diesem Bereich vorbildlich werden.

Nach einem Cyberangriff werden alle Anwendungen überwacht

Im überarbeiteten Entwurf wird jetzt darauf verzichtet, zu viel Verantwortung bei den lokalen Behördenleitern abzuladen – und zu lange Meldewege vorzusehen. Klargestellt wird außerdem, dass nicht nur der Datenverkehr zwischen den Dienststellen überwacht und kontrolliert wird, wenn ein Cyberangriff geschehen ist – sondern die gesamten Anwendungen auf allen betroffenen PCs. Das ist nötig, da die Schad-Software sich oft in unbekannten Ecken einnistet und unerkannt bleibt, wenn die Kontrollen nicht gründlich und umfassend ablaufen. Auch die Speicherfristen für Daten werden erhöht. Im ursprünglichen Gesetzentwurf waren sieben Tage vorgesehen, jetzt sollen es 30 Tage sein. Je länger nämlich die Spezialisten des BSI nach einem Cyberangriff die Chance haben, die Daten zu untersuchen, desto höher ist die Wahrscheinlichkeit, dabei fündig zu werden. Auch die retrograde Auswertung – die frühere Datenvorgänge analysiert – wird ausdrücklich einbezogen. Viele dieser Schritte, die im neuen Gesetzentwurf nach den Wünschen von SPD und CDU verankert werden sollen, beißen sich mit der herkömmlichen Sichtweise des Datenschutzes. Doch sie sind nach Ansicht von Sicherheitsexperten unerlässlich für ein wirkungsvolles Vorgehen gegen Cyberangriffe.

Lesen Sie auch:

Sind Niedersachsens Daten gegen Angriffe von Hackern geschützt? Zweifel werden lauter

Die Telekom hatte unlängst über 46 Millionen Cyberangriffe jeden Tag berichtet. Die allermeisten davon werden schon früh erkannt und unschädlich gemacht. Die Schad-Software Emotet, die unlängst in Neustadt am Rübenberge für mehrere Tage die Stadtverwaltung lahmlegte, durchdringt die Systeme schrittweise und kontinuierlich. Ihr kann man nur durch die jetzt im Gesetz geplante „retrograde Auswertung“ auf die Spur kommen.