Vor wem verbirgt die Bundesregierung ihre IT-Sicherheit?
Die neueste Reaktion auf Anfragen der AfD lautet, sie wären sicherheitsgefährdend. Detaillierte Anfragen im Sicherheitsbereich wurden unter Spionageverdacht gestellt, als hätte die Regierung nicht mehrere Optionen, um sich zu schützen, bis hin zur Einsicht in Geheimschutzräumen, wenn die Antwort Informationen enthält, die als zu heikel angesehen werden.
Nun gab es den ersten konkreten Fall einer Auskunftsverweigerung, eine Anfrage der AfD zur IT-Sicherheit im Kanzleramt. In Wirklichkeit ist diese Anfrage Teil einer Reihe von weitgehend identischen Abfragen bei sämtlichen Ministerien. Einige davon wurden zumindest teilweise öffentlich beantwortet. Hierzu muss man wissen, dass grundsätzlich eine Pflicht der Regierung besteht, Anfragen zu beantworten; selbst die Frist von zwei Wochen wurde in früheren Jahren sehr streng gesehen und Verlängerungen waren ausgesprochen selten.
Bezogen auf das Kanzleramt wird die IT-Anfrage der AfD jedoch überhaupt nicht beantwortet; stattdessen gibt es nur die Begründung der Nichtantwort. "Würden potenzielle Angreifer detaillierte Kenntnis über vorgenannte Informationen erhalten, wäre ein Angriff auf das Bundeskanzleramt deutlich einfacher zu gestalten und mit höherer Erfolgsaussicht verbunden", heißt es. Die Fragen sollen "derart schutzbedürftige Geheimhaltungsinteressen berühren, dass das Staatswohl gegenüber dem parlamentarischen Informationsrecht überwiegt".
Die wenigen Antworten, die erfolgen, sind inhaltsleer. Auf die Frage, welche Investitionen das Bundeskanzleramt in den Jahren 2020 bis 2025 für Ausbau und Absicherung seiner IT-Infrastruktur getätigt habe, lautet die Antwort nur: "IT-Sicherheit ist IT-Betriebsziel, sodass alle Investitionen in den IT-Betrieb grundsätzlich in den Ausbau und die Absicherung der IT-Infrastruktur fließen."
Das Problem dabei: Erst im vergangenen Sommer war ein Bericht des Bundesrechnungshofs zur IT-Strategie des Bundes erschienen, der ein geradezu katastrophales Fazit zog, auch in Bezug auf Sicherheit. So hieß es darin, schon im Oktober 2018 sei dem Innenministerium bekannt gewesen, dass ein erheblicher Teil der Behörden und Einrichtungen die Nutzerpflichten [bezogen auf die Sicherheit] nicht erfüllt. "Über sechs Jahre später", stellt der Bericht fest, "erfüllen immer noch knapp die Hälfte (52 von 106 Behörden und Einrichtungen) die Nutzerpflichten nicht vollständig."
Und das ist nur ein winziges Detail aus diesem Bericht, was besagt, dass es einen guten Grund gibt, detaillierte Fragen zu diesem Bereich zu stellen – das entspricht nämlich der Kontrollfunktion, die Abgeordnete gegenüber der Exekutive besitzen. Es ist nicht nur ihre Aufgabe, Gesetze zu machen oder Haushalte aufzustellen, sie sollen auch überwachen, wie die Exekutive die gestellten Aufgaben umsetzt und wie sie die zugeteilten Mittel nutzt.
In diesem Fall ist es jedenfalls fraglich, ob die Verweigerung des Kanzleramts gerechtfertigt ist, da die Informationen aus dem Rechnungshofbericht nahelegen, dass es noch ganz andere Gründe als Sicherheitsbedenken gibt, keinen Einblick in die Zustände zu geben. Nach dem Bericht ist der Zustand der IT des Bundes in vielfacher Hinsicht mit dem der Deutschen Bahn zu vergleichen: Seit zehn Jahren gibt es schöne Pläne, erreicht worden ist nichts. Wäre die IT-Sicherheit in Ordnung, gäbe es auch kein Problem, die Fragen zu beantworten; aber die Erwartung, eine Nichtantwort könne funktionierende Sicherheitsmaßnahmen ersetzen, ist eine Illusion.
Mehr zum Thema – Rechnungshof: Große IT-Pläne der Bundesregierung bleiben leere Versprechen