BSI-Chefin: Cyberschutz-Verpflichtung für Firmen ab 2026
Die Bundesregierung will die NIS2-Richtlinie der EU für den verpflichtenden Schutz wichtiger Anlagen und Unternehmen vor Cyberangriffen in Deutschland bis Anfang 2026 gesetzlich verankern. „Das Bundesinnenministerium treibt dieses Thema im Moment mit Hochdruck voran“, sagte die Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, der Deutschen Presse-Agentur. „Ich habe die Hoffnung, dass wir es schaffen, dass es Anfang 2026 in Kraft treten kann.“
Zu dem Entwurf, der unter anderem die Pflicht zur Risikoanalyse und zur Meldung von Sicherheitsvorfällen bestimmt, wurden laut Innenministerium Anfang Juli die Länder und betroffene Verbände angehört. „Wichtig ist, dass die Unternehmen und Institutionen den Startschuss hören“, sagt die BSI-Chefin.
Schutz vor Erpressern und Sabotage
Mit der Umsetzung der europäischen Richtlinie soll mehr Cybersicherheit von Unternehmen und Institutionen geschaffen werden. Als wichtige Einrichtung im Sinne des Gesetzes gelten unter anderem größere Unternehmen der Sektoren Energie, Verkehr, Trinkwasser, Lebensmittelproduktion, Abwasser und Telekommunikation. Die Idee dahinter: Wenn sie nicht mehr arbeitsfähig wären – etwa weil ein Hacker ihre Daten verschlüsselt oder den Zugriff darauf blockiert hat – hätte das erhebliche Auswirkungen auf die Bevölkerung.
Die Pflicht zur Umsetzung bestimmter Sicherheitsmaßnahmen zur Abwehr und Bewältigung von Cyberangriffen soll künftig schätzungsweise rund 29.000 Unternehmen betreffen und damit deutlich mehr als bisher. Aktuell betreut das BSI rund 4.500 Betreiber kritischer Infrastruktur, die bestimmte Standards in Sachen Cybersicherheit erfüllen müssen. Seit ungefähr vier Monaten ist die NIS-2-Betroffenheitsprüfung des BSI online. Damit kann jeder herausfinden, ob die geplanten strengeren Regeln für ihn gelten oder nicht. Der Test wurde laut BSI schon mehr als 200.000 Mal genutzt. Plattner hat dennoch den Eindruck: „Die Anforderungen, die auf die betroffenen Unternehmen und Einrichtungen zukommen, haben viele derjenigen, die es angeht, immer noch nicht richtig auf dem Schirm.“
Umsetzungsfrist lief im Oktober ab
Die Frist für die NIS-2-Richtlinie ist am 17. Oktober 2024 abgelaufen. Bis zu diesem Datum hätten alle EU-Mitgliedstaaten die Richtlinie in nationales Recht umsetzen müssen. Deutschland und zahlreiche andere EU-Staaten haben die Frist nicht eingehalten. Die Ampel-Koalition hatte im Juli 2024 im Kabinett einen entsprechenden Gesetzentwurf beschlossen. Nach dem Auseinanderbrechen der Koalition von SPD, Grünen und FDP fand sich dafür jedoch keine Mehrheit mehr im Bundestag.
„Dadurch, dass wir es in der letzten Legislaturperiode nicht mehr geschafft haben, ist da jetzt wirklich Tempo gefordert“, mahnt die BSI-Präsidentin. Aus ihrer Sicht sei es daher besser, die Richtlinie rasch umzusetzen und später gegebenenfalls noch einmal nachzubessern. Denn deutsche Unternehmen, Behörden, Forschungsinstitute und auch Einrichtungen in der Politik würden auf einem relativ hohen Niveau dauerhaft angegriffen und das Gesetz werde dafür sorgen, das Risiko zu reduzieren, dass diese Angriffe erfolgreich sind.
Kriminelle und politische Akteure
Aktuell beobachtet das BSI nach eigenen Angaben viele Lieferketten-Angriffe. Dabei geht es etwa um Ingenieursbüros oder IT-Firmen, bei denen sich hinterher oft herausstellt, dass nicht der Dienstleister das eigentliche Angriffsziel war, sondern Firmen oder Institutionen, die ihre Kunden sind. „Das können auch Behörden oder Institutionen aus dem politischen Raum sein“, sagt Plattner. Manchmal sei auch nicht ganz klar, ob es um eine rein kriminelle Operation geht oder womöglich auch ein staatlicher Akteur im Hintergrund eine Rolle spielt. In einigen Fällen sei beides relevant. „Es gibt da unheilige Allianzen zwischen finanziell motivierten und politischen Akteuren“, berichtet die BSI-Präsidentin.
Ein Hackerangriff hatte in den vergangenen Tagen einen massiven IT-Ausfall verursacht und für Probleme in den deutschen Einrichtungen des Gesundheitskonzerns Ameos gesorgt. In Sachsen-Anhalt waren am Donnerstag mehrere Internetseiten von Ministerien kurzzeitig nicht aufrufbar. Grund sei ein Überlastungsangriff einer prorussischen Hackergruppe auf das Landesportal, hieß es.
BSI bietet Unterstützung an
Der Aufwand, den die einzelnen Unternehmen und Einrichtung betreiben müssen, um die Verpflichtungen aus der NIS-2-Richtlinie zu erfüllen, ist nach Einschätzung von Plattner nicht pauschal zu beziffern. Wer eine gute IT-Abteilung habe und sich auch jetzt schon um Cybersicherheit kümmere, werde die Herausforderungen häufig auch „mit Bordmitteln“ bewältigen können. Bei denjenigen, die sich noch nie um das Thema gekümmert hätten, werde dagegen „die Lernkurve deutlich steiler sein“. Die Leiterin der Bundesbehörde, die ihren Hauptsitz in Bonn hat, verspricht hier Unterstützung. „Wir bemühen uns, das mit unseren Informations- und Beratungsangeboten für die Unternehmen so schmerzfrei wie möglich zu machen.“
Die für ihre Überwachungssoftware Pegasus bekannte NSO-Group wird von einer US-amerikanischen Investorengruppe aufgekauft. Das bestätigt das Unternehmen gegenüber dem Online-Nachrichtenportal TechCrunch. Laut NSO-Sprecher Oded Hershowitz habe „eine amerikanische Investorengruppe Dutzende Millionen Dollar in das Unternehmen investiert und die Kontrollmehrheit erworben.“
Gegenüber TechCrunch betonte er, dass die Investition nichts daran ändere, dass das Unternehmen unter israelischer Kontrolle operiert. Der Hauptsitz verbleibe in Israel und auch die Kernoperationen werden weiter von dort ausgeführt. Die NSU-Group „wird weiterhin vollständig von den zuständigen israelischen Behörden beaufsichtigt und reguliert, darunter das Verteidigungsministerium und der israelische Regulierungsrahmen“, so Hershowitz.
Die genaue Investitionssumme sowie die Identität der Investoren nannte der Sprecher nicht. Spekulationen darüber gibt es aber längst. Wie die israelische Technik-Nachrichten-Seite Calcalist berichtet, stehe eine von dem Hollywood-Produzenten Robert Simonds geführte Gruppe hinter dem Deal. Laut Calcalist hat die Übernahme eine Vorgeschichte. Simonds war demnach offenbar bereits zuvor im Vorstand der NSO-Muttergesellschaft tätig, trat jedoch nach fünf Monaten zurück. Außerdem gebe es Hinweise darauf, dass William Wrigley Jr., ein Erbe des Wrigley-Kaugummi-Imperiums, möglicherweise an den Übernahmeplänen beteiligt ist oder war.
Von Kontroversen und rechtlichen Problemen
Eigentlich steht das Unternehmen auf der Sanktionsliste des US-Handelsministeriums, das amerikanischen Unternehmen den Handel mit dem Spyware-Anbieter untersagt. John Scott-Railton, ein leitender Forscher am Citizen Lab, der seit einem Jahrzehnt Missbrauchsfälle von NSO-Spyware untersucht, äußerte gegenüber TechCrunch Bedenken zur Übernahme: „NSO ist ein Unternehmen mit einer langen Geschichte, gegen amerikanische Interessen zu handeln und das Hacken amerikanischer Beamter zu unterstützen.“ Er bezeichnete Pegasus als „Diktator-Technik“, die nicht in die Nähe von Amerikanern gehöre.
Laut TechCrunch hatte NSO noch im Mai 2025 mithilfe einer Lobbyfirma mit Verbindungen zur Trump-Administration versucht, von der US-Blockadeliste entfernt zu werden.
Viele Spekulationen zur NSO-Übernahme stehen also im Raum. Das passt zur bisherigen Geschichte, denn seit seiner Gründung steht das Unternehmen im Zentrum zahlreicher Kontroversen. Forschungs- und Journalistengruppen sowie Amnesty International haben über Jahre hinweg dokumentiert, wie die Spionagesoftware Pegasus eingesetzt wurde, um Journalisten, Menschenrechtler und Politiker in unzähligen Ländern auszuspionieren.
Auseinandersetzung mit WhatsApp
Für Aufsehen sorgte in jüngerer Vergangenheit die Auseinandersetzung mit dem Meta-Konzern. Anfang Mai wurde das Unternehmen zur Zahlung von mehr als 167 Millionen US-Dollar (144 Millionen Euro) Schadensersatz an den zum Meta-Konzern gehörenden Messenger-Dienst WhatsApp verurteilt.
WhatsApp verklagte die NSO-Group bereits im Oktober 2019, weil diese angeblich durch unerlaubten Zugriff auf WhatsApp-Server die Spionagesoftware Pegasus auf den Geräten von etwa 1400 Nutzern installiert hatte, darunter eben Journalisten und Menschenrechtsaktivisten.
Die NSO-Group verteidigte sich mit dem Argument, ihre Software diene Strafverfolgungsbehörden und Geheimdiensten im Auftrag ausländischer Regierungen zur Bekämpfung von Terrorismus und anderen schweren Verbrechen.
Täglich grüßt die Chatkontrolle. (Symboltier) – Alle Rechte vorbehalten IMAGO / Andreas Stroh; Bearbeitung: netzpolitik.org
Seit der vorigen Folge sind viele neue Leute ins Team gekommen. Eine dieser Personen könnt ihr in diesem Podcast kennenlernen: unser neuer – und erster – Volontär Timur. Er erzählt über sich und das, was ihn in seinen ersten Wochen bei netzpolitik.org überrascht hat.
Außerdem sprechen wir über das Thema, das uns diese Woche am meisten beschäftigt hat: die Chatkontrolle. Zwei Jahre nach der letzten Folge mit diesem Schwerpunkt berichtet Markus, wo wir heute stehen, und wie er es weiter aushält, beständig über diesen netzpolitischen Dauerbrenner zu berichten.
In dieser Folge: Timur Vorkul, Markus Reuter und Anna Biselli. Produktion: Serafin Dinges. Titelmusik: Trummerschlunk.
Hier ist die MP3 zum Download. Wie gewohnt gibt es den Podcast auch im offenen ogg-Format. Ein maschinell erstelltes Transkript gibt es im txt-Format.
Unseren Podcast könnt ihr auf vielen Wegen hören. Der einfachste: in dem Player hier auf der Seite auf Play drücken. Ihr findet uns aber ebenso bei Apple Podcasts, Spotify und Deezer oder mit dem Podcatcher eures Vertrauens, die URL lautet dann netzpolitik.org/podcast.
Wir freuen uns auch über Kritik, Lob, Ideen und Fragen entweder hier in den Kommentaren oder per E-Mail an podcast@netzpolitik.org.
Die Woche, in der die Bundesregierung unter Druck geriet
Liebe Leser:innen,
vor genau einer Woche stand im Wochenrückblick, dass die Bundesregierung im EU-Rat am 14. Oktober für die Chatkontrolle stimmen könnte. Auf Anfragen von uns hatte sie keine Position gegen die Überwachungspläne bezogen.
Jetzt, nur eine Woche später hat sich der Wind gedreht: Die Abstimmung im EU-Rat ist erstmal abgesagt, wohl auch weil sich die Bundesregierung am vergangenen Mittwoch gegen eine „anlasslose Chatkontrolle“ positioniert hat und es so keine Mehrheit geben würde. Das wohl gefährlichste Überwachungsprojekt Europas ist vorerst wieder abgewehrt.
Im letzten Wochenrückblick stand auch, dass es nicht zu spät für Proteste sei. Und genau das hat sich bewahrheitet: Es war nicht zu spät. Aus verschiedenen Ecken der Gesellschaft gab es Gegenwind, von Bitkom über den Kinderschutzbund bis zum Messenger-Platzhirsch WhatsApp. Aber auch jede Menge wütende Menschen, die massenweise E-Mails schrieben oder anriefen, um ihren Unmut zu äußern. Eine Petition sammelte in 48 Stunden mehr als 300.000 Unterschriften. Auf unserer Startseite gab es zwischenzeitlich kein anderes Thema mehr.
Am Ende lenkte die schwarz-rote Bundesregierung ein, nicht ohne frech zu behaupten, dass sie ja schon immer gegen die anlasslose Chatkontrolle gewesen sei.
Dieser Etappensieg der Zivilgesellschaft ist ein toller Erfolg. Er zeigt, dass es sich lohnt zu protestieren. Aber das Thema Chatkontrolle ist noch lange nicht vom Tisch. Einerseits müssen wir hierzulande ganz genau schauen, was die Bundesregierung eigentlich unter der Ablehnung einer anlasslosen Chatkontrolle versteht. Meint das auch Überwachungstools wie Client-Side-Scanning? Wie sieht es mit Zugriff bei einem „Anlass“ aus? Es darf keine Technologien auf unseren Smartphones und Computern geben, die Ende-zu-Ende-Verschlüsselung in irgendeiner Form umgehen oder schwächen. Dazu muss die Bundesregierung deutlich stehen.
Auf der anderen Seite steht im EU-Rat nur ein Teil der Mitgliedsländer gegen die Chatkontrolle. Wenn da einzelne Länder kippen, könnte die Chatkontrolle trotz des Widerstands aus Deutschland doch noch kommen. Es ist also wichtig, dass auch EU-weit Bewusstsein geschaffen wird, wie gefährlich das ist – und dass Chatkontrolle nicht zur Demokratie passt. Es bleibt also viel zu tun, wir berichten natürlich weiterhin.
Dennoch können wir uns jetzt erstmal ein Gläschen Crémant gönnen und uns freuen, dass es auch noch gute Nachrichten in dieser sonst so turbulenten Welt gibt.
Herzliche Grüße
Markus Reuter
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Der Etappensieg bei der Chatkontrolle ist das Verdienst einer quicklebendigen Zivilgesellschaft, die es geschafft hat, in klugen und unerwarteten Bündnissen die Wichtigkeit des Themas allen vor Augen zu führen. Zeit, dafür Danke zu sagen.
Lesen Sie diesen Artikel: So geht Demokratie weiterlesen
