Mitglieder der Unions- und SPD-Fraktion haben sich bei der Überarbeitung der Cybersicherheitsvorgaben für Kritische Infrastrukturen geeinigt. Kurz vor Ende kam noch einmal kräftig Bewegung in die Diskussionen zwischen den Beteiligten: Wie genau soll im Fall der Fälle der Betrieb einer betriebskritischen Komponente in den kritischen Anlagen verboten werden können? Bereits heute gibt es im BSI-Gesetz die Möglichkeit, dass der Einsatz kritischer Komponenten vom Bundesinnenministerium untersagt werden kann. Mit der Ausweitung der Betroffenen des dann überarbeiteten BSI-Gesetzes auf voraussichtlich etwa 30.000 Betreiber wird das wesentlich relevanter.

Künftig sollen in einer Kabinettsverordnung die jeweils als kritisch erachteten Komponenten aufgelistet werden, für die dann ein Verbot möglich wäre, wenn die Hersteller nicht als vertrauenswürdig gelten.

Zugleich wird aber die Reihenfolge geändert: Von einer Ex-Ante, also einer Prüfung im Vorhinein, wird dann auf Ex-Post umgestellt – die Betreiber können auf eigenes Risiko also Komponenten einsetzen, müssen deren Verwendung aber dem BSI anzeigen und im Nachgang bei einem Verbot auch wieder ausbauen. Da die Entscheidung über ein Verbot aber immer auch eine politische Dimension hat, muss dieses von der Hausleitung des Bundesinnenministeriums ausgesprochen werden. Dessen Staatssekretär Hans-Georg Engelke zeigte sich am Mittwochabend auch „ganz zufrieden“ mit der gefundenen Lösung.

Telekommunikationsanbieter fürchten Unsicherheit

Insbesondere die Telekommunikationsbranche fordert Planungssicherheit. „Wir brauchen an dieser Stelle Planungssicherheit und nicht ein Wiederaufmachen dieser Thematik im Jahresrhythmus“, forderte Telefonica Deutschland-Vorständin Valentina Daiber bei einer Veranstaltung des CDU-nahen Wirtschaftsrats am Mittwoch in Berlin.

Das sei zwar ein absolut legitimer Wunsch, erwiderte Klaus Müller, Präsident der Bundesnetzagentur. Ihm stehe aber eben eine sich schnell verändernde Welt entgegen. Die Bundesnetzagentur hatte erst am Montag den Entwurf neuer Sicherheitsrichtlinien im Telekommunikationsbereich veröffentlicht – im Vorgriff auf die NIS2-Regelungen.

Er sei zu den Notwendigkeiten mit der Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik Claudia Plattner regelmäßig im Dialog, sagte Müller bei der Veranstaltung: „Das sind keine schönen Gespräche.“ Tatsächlich dürften die Regelungen vor allem in anderen Kritis-Branchen Auswirkungen haben – der Telekommunikationssektor hat dank der Huawei-Debatte und dem bisherigen §9b BSI-Gesetz bereits vergleichsweise viel Erfahrung.

CISO Bund geht zum BSI

Auf Plattners Behörde kommen nun weitere Aufgaben zu: Die Rolle des „Chief Information Security Officer“ (CISO), also des IT-Sicherheitsbeauftragten der Bundesverwaltung, geht nach der Einigung im parlamentarischen Verfahren nun zur Bonner Behörde – dort soll die Stelle angesiedelt werden. Eine weitere relevante Änderung betrifft nicht nur das BSI, sondern auch die anderen nachgeordneten Bundesbehörden: Die sollen zumindest gewisse Sicherheitspflichten künftig auch erfüllen müssen. Eine Forderung, die auch der Bundesrechnungshof erhoben hat.

Mit der Einigung im Bundestag wird die Wahrscheinlichkeit von Strafzahlungen an die EU wegen der Nichtumsetzung von EU-Recht deutlich reduziert: Die EU-Kommission hatte zuletzt angekündigt, gegen jene Staaten, die die NIS2-Richtlinie nicht in nationales Recht umgesetzt haben, ein Vertragsverletzungsverfahren einzuleiten. Bislang haben erst 15 der 27 Mitgliedstaaten die Vorgaben für mehr Cybersicherheit in kritischen Infrastrukturen umgesetzt.

Die Strafe hätte zuständigkeitshalber aus dem Etat des Innenministeriums beglichen werden müssen, das den Entwurf kurz vor der Sommerpause mit einigen offenen Baustellen den Abgeordneten im Bundestag überantwortete. Der soll das Umsetzungsgesetz nach der Einigung aufgrund der vielfältigen Dringlichkeit schnellstmöglich verabschieden – kommende Woche soll das Gesetz den Bundestag passieren.

(wpl)

In die seit Jahren feststeckenden Verhandlungen im EU-Rat zur sogenannten Chatkontrolle ist Bewegung gekommen. Die nationalen Botschafter haben laut einem Bericht von Politico (€) in der gestrigen Sitzung einem neuen Anlauf aus Dänemark zugestimmt. Wie MLex berichtet, habe mit Deutschland auch ein großes Kritikerland Zustimmung signalisiert. Damit ließe sich die Sperrminorität, die den Rat bisher gebremst hat, überwinden.

Seit Jahren ist der Gesetzentwurf der Europäischen Union zur Bekämpfung von Material über sexuellen Kindesmissbrauch (CSAM) umstritten; im EU-Rat gab es dazu seit drei Jahren keine Einigung. Knackpunkt bei den Verhandlungen ist immer wieder die verpflichtende, anlasslose Chatkontrolle, also die massenhafte Durchleuchtung privater und auch verschlüsselter Kommunikation.

Dänemark hatte, nachdem es keine Mehrheit für seinen Vorschlag erhalten hatte, einen neuen Kompromiss (PDF) vorgelegt. Demnach sollten die „Aufdeckungspflichten“ aus dem Gesetzentwurf entfallen, also Artikel 7 bis 11 – und damit auch die Anordnungen, die Dienste zur Chatkontrolle verpflichten könnten.

Von offizieller Seite gibt es widersprüchliche Signale über die mögliche, bevorstehende Einigung. Eine Sprecherin der dänischen Repräsentanz sagte am Mittwoch gegenüber netzpolitik.org, die EU-Ratspräsidentschaft sei zum Schluss gekommen, dass es „genügend Unterstützung für den vorgeschlagenen Weg gibt, obwohl mehrere Mitgliedstaaten sich einen ehrgeizigeren Ansatz gewünscht hätten.“ Ein neuer Kompromissvorschlag würde nächste Woche in der Sitzung der Arbeitsgruppe diskutiert werden.

Ausreichende Mehrheit nicht sicher

Ein Sprecher des EU-Rates äußerte sich verhaltener: „Der Vorsitz hat die nötige Unterstützung bekommen, um den neuen Vorschlag (der noch nicht vorliegt) auf technischer Ebene zu besprechen. Der heutige AStV hat sich nicht inhaltlich mit dem neuen Vorschlag auseinandergesetzt. Ob es eine ausreichende Mehrheit gibt, lässt sich zum jetzigen Zeitpunkt von daher nicht sagen.“

Auch ohne eine verpflichtende Chatkontrolle wäre die Überwachung vertraulicher Kommunikation nicht vom Tisch. Die „vorübergehende Ausnahme“ der Vertraulichkeit der Kommunikation – also die freiwillige Chatkontrolle – will Dänemark nämlich „dauerhaft machen“. Laut Datenschutzrichtlinie für elektronische Kommunikation dürfen Internetdienste die Inhalte ihrer Nutzer:innen eigentlich nicht „mithören, abhören, speichern oder auf andere Arten abfangen oder überwachen“.

Die freiwillige Chatkontrolle wurde allerdings 2021 vorübergehend erlaubt. Mit dem neuen Vorschlag soll sie dauerhaft erlaubt werden. Die Bundesdatenschutzbeauftragte kritisierte gegenüber der Bundesregierung jedoch auch das „freiwillige“ Scannen als rechtswidrig.

Nach Einigung im Rat käme der Trilog

Laut einer Notiz an Diplomaten, die Politico vorliegt, sehen die dänischen Pläne eine Überprüfungsklausel vor, um verpflichtende Scans in Zukunft erneut zu erwägen. Demnach dürfte die verpflichtende Chatkontrolle immer wieder als Thema auftauchen und auf EU-Ebene diskutiert werden.

Einen neuen Vorschlag soll es erst in der kommenden Woche geben; Dänemark hatte bislang nur eine Zusammenfassung geliefert. Laut dem MLex-Bericht haben einige Länder gesagt, dass sie ihre Zustimmung vom endgültigen Text abhängig machen. Sollte der EU-Rat letztlich grünes Licht geben, dann geht die Verordnung in den sogenannten Trilog, also die finalen Verhandlungen zwischen EU-Kommission, EU-Parlament und EU-Rat.

Die Windows-Sicherheitsupdates, die Microsoft zum Oktober-Patchday verteilt hat, können dazu führen, dass beim Rechnerneustart die Bitlocker-Wiederherstellung gestartet wird. Der Startvorgang ist dann nur mit der Eingabe des Wiederherstellungsschlüssels möglich.

Das hat Microsoft nicht öffentlich in den Windows-Release-Health-Notzien eingeräumt, sondern in nur zahlenden Admins zugänglichen Eintrag im Micosoft-Admin-Center versteckt. Dort schreibt der Hersteller: „Nach der Installation der Windows-Updates, die am oder nach dem 14. Oktober 2025 veröffentlicht wurden (KB5066835), können bei einigen Geräten Probleme beim Neustart oder Start auftreten. Betroffene Geräte starten möglicherweise mit dem BitLocker-Wiederherstellungsbildschirm, sodass Benutzer den Wiederherstellungsschlüssel einmal eingeben müssen. Nach Eingabe des Schlüssels und Neustart des Geräts wird es normal gestartet, ohne dass weitere BitLocker-Eingabeaufforderungen angezeigt werden.“

Abhilfe schafft Teil-Deinstallation

Das Unternehmen erklärt weiter: „Das Problem scheint vorrangig Intel-basierte Geräte zu betreffen, die Connected Standby unterstützen – einer Funktion, die den Geräten ermöglicht, auch in einem Stromsparmodus mit dem Netzwerk verbunden zu bleiben“. Um das Problem zu lösen, bietet Microsoft einen Known Issues Rollback (KIR) an, also eine Teil-Deinstallation der Windows-Updates. Admins, die das in ihrer Einrichtung umsetzen wollen, sollen dazu den Microsoft-Support kontaktieren.

Betroffen sind Microsofts Angaben zufolge alle unterstützten Client-Betriebssysteme: Windows 10 22H2, Windows 11 22H2, 23H2, 24H2 und 25H2. Server zeigen offenbar keine derartigen Probleme. Microsoft gibt an, das Problem noch weiter zu untersuchen.

Wer Windows einsetzt, sollte sicherstellen, eine Kopie des Bitlocker-Wiederherstellungsschlüssels im Zugriff zu haben oder in dem eigenen Microsoft-Konto zu hinterlegen. Insbesondere in Windows-Home-Versionen ist Bitlocker öfter aktiviert, ohne, dass die Nutzerinnen und Nutzer ein Backup angelegt haben. In solchen Situationen laufen Betroffene dann Gefahr, den Zugriff auf ihre Daten auf dem Rechner zu verlieren.

Im Oktober kam es bereits zu weiteren unerwünschten Nebenwirkungen der Sicherheitsupdates und der Update-Vorschauen für Windows. Microsoft berichtete von fehlschlagender Authentifizierung mit Smartcards, nicht funktionierender Maus und Tastatur in der Windows-Wiederherstellungsumgebung oder dem Fehlschlagen des Ladens von IIS-Webseiten von localhost.

(dmk)