Statement von Miriam Schnürer, Vorstandsmitglied BSKI
Wer in Deutschland lebt, muss abgeben: Steuerdaten an das Finanzamt, Diagnosen an die Krankenkasse, Ausweisdaten an die Kommune. Wer nicht liefert, riskiert Bußgeld oder Leistungsverlust. Die Pflicht ist verbindlich und wird mit Zwangsmitteln durchgesetzt.
Die Gegenpflicht ist es nicht. Der Bürger kann weder prüfen noch beeinflussen, wie seine Daten bei den empfangenden Stellen und deren Dienstleistern gesichert sind – und niemand trägt ihm gegenüber persönlich die Verantwortung dafür. Was er sieht, sind die Vorfälle: Südwestfalen-IT, 72 Kommunen, Monate im Notbetrieb, und ein Forensikbericht, der keine hochentwickelte Angriffstechnik beschreibt, sondern einen VPN-Zugang ohne Mehrfaktor-Authentifizierung.
Das ist eine doppelte Asymmetrie. Wer zwingt, müsste das Höchstmaß an Schutz schulden. Tatsächlich fehlt in dokumentierten Fällen selbst das Minimum. Und die einzige Regelung, die Leitungen persönlich für Informationssicherheit in die Pflicht nimmt, gilt ausgerechnet dort nicht, wo der Zwang am größten ist: Das NIS-2-Umsetzungsgesetz verpflichtet Geschäftsleitungen privater Unternehmen persönlich – Kommunalverwaltungen sind ausgenommen. Der IT-Planungsrat von Bund und Ländern hat das in seinem Beschluss 2023/39 ausdrücklich so erbeten, wenige Tage nach dem Angriff auf Südwestfalen-IT. Der Bundesverband IT-Sicherheit forderte die Rücknahme, vergeblich. Ein mittelständischer Zulieferer haftet mit seiner Geschäftsführung. Die Kommune, die Sozialakten und Gesundheitsamtsdaten hält, haftet mit niemandem persönlich.
Der Bürger, der privat jede Vorsichtsmaßnahme trifft und Unternehmen bei Versagen haftbar machen kann, steht dem Staat gegenüber mit leeren Händen. Er muss vertrauen, wo er bei jedem anderen prüfen und sanktionieren dürfte.
Daraus folgt eine Forderung, die über das geltende Recht hinausgeht: Wer Bürger zur Abgabe sensibler Daten zwingt, schuldet ihnen den Nachweis, dass die gesamte Verarbeitungskette – einschließlich jedes Dienstleisters, den der Staat selbst eingesetzt hat – unabhängig geprüft wurde. Vor der Abgabe, nicht nach dem Schaden. Heute greifen alle Rechte des Bürgers erst, wenn die Krankengeschichte bereits im Netz steht.
Sicherheit darf sich dabei nicht an der Rechtsform des Empfängers bemessen, sondern an der Sensibilität der Daten und daran, ob der Bürger ausweichen kann. Und sie ist Führungsverantwortung: Wer über Budgets, Architekturen und Dienstleister entscheidet, muss die Konsequenzen tragen – für öffentliche Träger nicht weniger als für Unternehmen.
Der vollständige Beitrag mit der rechtlichen Einordnung erscheint auf miriamschnuerer.com