Stand der Technik TeleTrust-Podcast

Die Frage, ob man den Stand der Technik trifft, lässt sich nur interdisziplinär erarbeiten. Das ist das, was funktioniert und wo viele Unternehmen, glaube ich, sich noch einen kleinen Schubs geben müssen. Herzlich willkommen beim Teletrust Podcast.

Mein Name ist Franziska Bock und ich bin beim Bundesverband IT-Sicherheit Teletrust für Medien und Events zuständig. Unser heutiges Thema ist Stand der Technik und meine Gäste sind Carsten Bartels und Tomasz Lawicki. Carsten ist Rechtsanwalt und Partner bei HK2.

Zudem ist er auch unser stellvertretender Vorstandsvorsitzender beim Teletrust und Leiter der AG Recht. Als Datenschutzbeauftragter und Konzerndatenschutzbeauftragter fungiert er und ist sogar ein mehrfach ausgezeichneter Anwalt für IT-Recht und Datenschutzrecht, zuletzt sogar von der Wirtschaftswoche als Top-Anwalt IT-Recht 2021. Fachbeiträge, Veranstaltungen, Vorträge und Beratungen zum Thema Stand der Technik sind nichts Neues für ihn.

Darum ist er heute hier. Herzlich willkommen Carsten. Vielen Dank, liebe Franziska.

Ich freue mich dabei zu sein. Tomasz Lawicki ist Senior Manager bei M3 Management Consulting GmbH und Leiter des Arbeitskreises Stand der Technik beim Teletrust. Tomasz, du bist heute hier, um aus dem Nähkästchen zu plaudern und deine Expertise zum Stand der Technik zu liefern.

Ich freue mich sehr, dass du heute da bist. Herzlich willkommen. Vielen Dank für die Einladung.

Ich freue mich dabei zu sein. Schwere Einstiegsfrage, Carsten. Wo fängt man an, wenn man Stand der Technik einen völlig Ahnungslosen in nur drei Sätzen erklären müsste? Die Eingangsfrage mit drei kurzen Sätzen zu beantworten, ist tatsächlich eine kleine Herausforderung.

Ich mag das mal versuchen. Mit dem Stand der Technik beschreibt man anhand von objektiven, fachlichen Kriterien die Qualität von technischen, aber eben auch nicht technischen Leistungen. Und diese Qualitätsfeststellung, die kann erfolgen, wenn eine Leistung zu den Besten am Markt gehört, einen bestimmten Zweck zu erfüllen.

Und der dritte Satz, der wäre, der Stand der Technik in der IT-Sicherheit ist ein Zweck, der sich in vielen Gesetzen wiederfindet. Zum Beispiel im deutschen IT-Sicherheitsgesetz und eben auch in der Datenschutzgrundverordnung. Und wenn ich darf, vielleicht noch einen vierten Satz, nämlich, dass wir uns natürlich heute hier mit Sicherheit auch der Frage widmen, wann man diese Anforderungen, diese gesetzlichen Anforderungen eigentlich unter welchen Voraussetzungen wie umzusetzen hat.

Vielen Dank, Carsten. Thomas, du hast jetzt auch vier Sätze, gut. Wie würdest du es erklären? Ich versuche, mich kurz zu halten.

Also ich bin von dem Begriff Stand der Technik absolut begeistert. Das Tolle an dem Begriff Stand der Technik ist ja, dass er gleichzeitig viel, aber auch wenig aussagt. Also er lässt vermuten, dass jeder versteht, worum es geht.

Und gleichzeitig, wenn man ein bisschen hinterfragt, haben alle unterschiedliche Vorstellungen, was sich dahinter verbringt. In meinem Verständnis entspricht eine Maßnahme dem Stand der Technik, wenn sie den bestmöglichen Schutz bietet. Das sind üblicherweise die fortschrittlichsten Maßnahmen, die am Markt angeboten werden.

Vielen Dank. Erst mal soweit. Ich denke, damit können wir erst mal umgehen.

Ich hatte in der Anmoderation ganz kurz auch euren Bezug schon zu Stand der Technik erwähnt. Mir wäre es jetzt ganz wichtig, dass ihr uns als Zuhörer auch nochmal erzählt, wie ihr eigentlich dazu gekommen seid und vielleicht nochmal ein, zwei weitere Sätze über meine Anmoderation hinaus sagt, was euer genauer Bezug zu Stand der Technik ist. Thomas, magst du anfangen? Ja, sehr gerne.

Ich presche gerne vor. Also bei mir war das kurz nach dem Inkrafttreten des IT-Sicherheitsgesetzes. Und zwar auf dem internen Workshop von Teletrust.

Da hatte Carsten Bartels, also dieser Carsten Bartels, der auch hier dabei ist, der hatte das Thema vorgestellt. Ich war damals als IT-Gutachter für eine Sachverständige tätig und war naturgemäß mit dem Begriff Stand der Technik im Zusammenhang zum Beispiel mit Gerichtsgutachten sehr vertraut. Da muss man ja sagen, dass Stand der Technik damals vielleicht nicht so stark verbreitet war und vor allem auch nicht gesetzlich verankert.

Dennoch war ich sofort an dem Thema interessiert. Also haben wir im Juli 2015, also direkt im internen Workshop von Teletrust, den Arbeitskreis Stand der Technik initiiert und fingen dann mit der Arbeit an. Ein Jahr später haben wir die erste Version der Handreichung zum Stand der Technik publiziert und der Rest ist Geschichte.

Das heißt mehrere Versionen der Handreichung zum Stand der Technik, diverse Vorträge, Publikationen und nicht zuletzt verbunden mit meiner beruflichen Tätigkeit Beratungsaufträge im Zusammenhang mit der Bewertung und Beratung zum Stand der Technik in der IT-Sicherheit. Okay, was genau hat dich interessiert? Kannst du das in einem Satz sagen? Das war eine Herausforderung, den Stand der Technik der IT-Sicherheit tatsächlich zu beschreiben, denn zu dem Zeitpunkt gab es das eigentlich nicht. Danke.

Carsten? Ja, meine Befassung mit dem Thema Stand der Technik begann ein Jahr zuvor. Da war nämlich das federführende Bundesministerium, das BMI, das Bundesministerium des Innern, mit der Gestaltung des Gesetzes befasst und hat in diesem Zusammenhang die verschiedenen Stakeholder, die verschiedenen Interessensverbände in einer Verbändeanhörung zusammengebracht, um Stellungnahmen gebeten. Und dann sollten in dieser Anhörung die Punkte, die für eine Änderung dieses Entwurfs gesprochen haben, ventiliert besprochen werden und auch die Punkte aufgegriffen werden, wo das BMI gesagt hat, ja, das haben wir gesehen, das fanden wir auch interessant und vielleicht auch nachvollziehbar, würden wir aber nicht aufgreifen.

Und das war 2014. Und da habe ich eine Stellungnahme mit abgegeben zu diesem damaligen Gesetzesentwurf für das IT-Sicherheitsgesetz quasi 1.0, auch wenn es so nicht genannt wird, aber das war noch mal das Erste. Und im Anschluss haben wir dann

zusammen dem Teletrust, dem Bundesverband IT-Sicherheit, überlegt, was wir daraus machen.

Und dann war für mich relativ klar, dass wir das thematisch aufgreifen müssen. In diesem besagten internen Workshop haben wir das getan und dann war eine, finde ich, sehr konsequente Folge davon, dass wir diesen Arbeitskreis gegründet haben und auch gleich sehr schnell überlegt haben, was da ein Output sein muss, nämlich eine Darstellung dessen, was wir im Bereich der IT-Sicherheit für den Stand der Technik halten und wie wir da hinkommen. Und darüber hinaus begleitet mich der Stand der Technik eigentlich jetzt konsequent seit Jahren.

Also das hat mich nicht mehr losgelassen, denn wir haben 2014 die Anhörung gehabt, 2015 das erste IT-Sicherheitsgesetz. Dann ist ja 2016 die Datenschutz-Grundverordnung in Kraft getreten. Zwei Jahre später war dann der sogenannte Geltungsbeginn.

Dort steht auch etwas Wesentliches und Wichtiges zum Stand der Technik. Dann haben wir natürlich auf der europäischen Ebene noch die sogenannte NIS-Richtlinie bekommen, die ebenfalls mit dem Thema zu tun hat und ja quasi die europäische Rahmenrichtliniengebung, Gesetzgebung darstellt für die nationalen IT-Sicherheitsgesetze. Und dann haben wir noch zum Beispiel ein Gesetz in Deutschland, welches zwar den Stand der Technik selbst gar nicht aufgreift, man allerdings bei der Anwendung des Gesetzes nicht um den Stand der Technik drumherum kommt, und zwar explizit auch im Kontext von IT-Sicherheit, nämlich das sogenannte Geschäftsgeheimnisschutzgesetz, das sogenannte GESGEG, das gilt seit 2019.

Und jetzt haben wir seit letztem Jahr, seit 2021, das IT-Sicherheitsgesetz 2.0 und die eben angesprochene NIS-Richtlinie ist auch schon wieder auf europäischer Ebene in Überarbeitung, sodass relativ nachvollziehbar sein mag, wie stark sich das auswirkt, was der Stand der Technik dann in verschiedenen Gesetzen verursacht hat. Der hat also Auswirkungen auf Beratungen, Vorträge, Beiträge, Workshops, aber vor allem auf die Vertragsgestaltung, auf Vertragsverhandlungen und die Wirkung von Verträgen mit Technikbezügen und mit Bezügen zur IT-Sicherheit. Das ist im Abriss mein Konnex zum Stand der Technik.

Vielen Dank, also hier kamen jetzt schon wieder einige Begrifflichkeiten DSGVO, GESGEG etc. pp. Wir werden die zu einem späteren Zeitpunkt mal aufgreifen.

Ich habe dazu später auch noch ein paar Fragen. Mir ist es ja sehr wichtig, dass wir in diesem Podcast auch die Zuhörer und Zuhörerinnen abholen, die vielleicht noch nicht ganz so viel Ahnung oder noch nicht so einen ganz großen Bezug zur IT-Sicherheit und dementsprechend zum Stand der Technik. Deswegen bin ich ein großer Fan von Beispielen aus dem Alltag.

Mir wäre es da sehr wichtig, wenn ihr das einmal aus der juristischen Sicht, du vielleicht Carsten, und einmal aus der unternehmerischen Sicht von Thomas anhand von ein, zwei, drei, vier Beispielen aufziehen könnt. Wer mag anfangen? Ich nehme das gerne auf mit der juristischen Perspektive, weil es mir nämlich die Möglichkeit gibt, eine kleine Vorwegbemerkung zu machen. Nämlich die Vorwegbemerkung ist die, dass der Stand der Technik genau genommen kein juristischer Begriff ist.

Es wird häufig behauptet, dass das so ein auslegungsbedürftiger Rechtsbegriff sei. Und deshalb müssten auch die Juristinnen und Juristen sagen, was sich dahinter verbirgt, das ist falsch. Es handelt sich genau genommen für die Expertinnen und Experten hier um einen Verweisungsbegriff.

Wichtig ist nur, was dem Stand der Technik entspricht. Ob etwas dem Stand der Technik entspricht, Hardware oder Software oder auch anderes, das entscheiden nicht die Juristinnen und Juristen, sondern das entscheiden sozusagen die Technikerinnen und Techniker, also die, die von der technischen Materie etwas verstehen. Und davon streng zu trennen, ist die Frage jeweils, ob man die konkrete Hardware oder Software oder was auch immer da gerade in Rede steht, ob man die also konkret einsetzen muss, ob es eine gesetzliche Verpflichtung gibt, diese zu implementieren und auf Dauer zu betreiben.

Das ist dann sowohl eine technische als auch eine juristische Frage. Dazu kommen wir dann aber bestimmt mehr. Und die praktischen Beispiele, die kann sich ja jetzt der Thomas wunderbar mal aufgreifen.

Ja, das könnte ich, selbstverständlich. Also ich gebe einfach ein direktes Beispiel aus der Praxis. Ich glaube, etwas, wo sich viele Zuhörer wiederfinden werden.

Oftmals wird die Passwortnutzung oder genauer gesagt die Authentisierung als Beispiel genannt und hier insbesondere die Multifaktor-Authentisierung als Stand der Technik gezeichnet. Das mag inzwischen in vielen Bereichen der Anwender-Authentisierung durchaus so stimmen. Aber vielleicht ist das nicht die ganze Wahrheit.

Also ich sage ja nicht, dass diese Aussage falsch ist. Jedoch, es gibt natürlich auch Fragen. Warum schreiben wir täglich unser Passwort bei der Anmeldung in einem Laptop und geben nicht gleich den zweiten Faktor ein? Ja, einfach so aus Sicherheit.

Das wäre vielleicht sinnvoll. Es gibt viele Beispiele, wo eine Multifaktor-Authentisierung, wie wir sie kennen, nicht einsetzbar ist. Denn das Beispiel, wie kann ein System zwei Faktoren für seine Berechtigung nutzen? Das ist einfach nicht möglich.

Das heißt, es müssen ja auch andere Lösungen eingesetzt werden, die es natürlich auch im Markt gibt. Was ich sagen will, ist, dass es nicht den alleinigen Stand der Technik gibt, sondern es gibt viele Maßnahmen, die dem Stand der Technik entsprechen. Wenn wir ein bisschen weiter schauen, also nicht nur bei den technischen Maßnahmen, wie jetzt eben diese Multifaktor-Authentisierung, sondern organisatorischen Maßnahmen, dann gibt es gerade dort viele Maßnahmen, die sie seit langer Zeit etabliert haben.

Die sind vielleicht nicht besonders fortschrittlich, nur es existieren keine besseren Maßnahmen, die zum Schutz eingesetzt werden können. Beispielsweise gibt es eine bestimmte Regel, nach welchen man Backups handelt, also Sicherung, Datensicherung. Die nennt man 3-2-1-Regel, also drei Kopien der Daten vornehmen, auf zwei verschiedene Medientypen, auf eine Band- oder Festplatte vornehmen und dann mindestens eine Kopie außer Haus vorhalten.

Das ist diese 3-2-1-Regel. Die hat sich etabliert, die hat sich bewährt, die sollte auch grundsätzlich benutzt werden. Und im Übrigen, um einfach mit dem Puls der Zeit auch dabei

zu sein, also es gibt ja auch viele Gespräche in Richtung Cloud-Technologien, wo man sehr oft sagt, dort braucht man keine Backups.

Doch auch bei der Cloud-Nutzung, bei Cloud-Technologien braucht man Backups. Dort könnte man jedoch von dieser 3-2-1-Regel etwas abweichen, sie etwas anders gestalten, also diese Möglichkeiten gibt es. Okay, nochmal ganz kurz zum Verständnis für mich zusammengefasst.

Aus dem Alltag unternehmerischer Sicht, ein Beispiel wäre jetzt Multifaktor-Authentisierung. Ich kenne das als Two-Factor-Authentification. Ist es dasselbe? Also zwei Faktoren, Identifikation und Authentifizierung, beziehungsweise Multifaktor.

Wenn man sie detailliert betrachtet, wäre es wahrscheinlich ein Unterschied, aber im Allgemeinen betrachtet ist es das Gleiche, ja. Okay, oder halt eben die 3-2-1-Regel oder verschlüsselte Mobilfunktelefonie, sowas in der Art. Als Beispiel, ja.

Okay. Franziska, da würde ich gerne nochmal reingrätschen, denn du hast zum Schluss eben den spannenden Punkt von der verschlüsselten Mobilfunktelefonie genannt. Anhand dieses Beispiels kann man nochmal sehr schön zeigen, was der Unterschied ist zwischen der objektiven Perspektive und quasi dieser subjektiven Ebene, ob man nämlich tatsächlich das wirklich einsetzen muss, was man einmal identifiziert hat als dem Stand der Technik zugehörig.

Damit meine ich ganz konkret Folgendes. Es gibt seit vielen, vielen Jahren verschlüsselte Mobilfunktelefone, mit denen ich halt verschlüsselt telefonieren kann. Das entspricht an der Stelle auch dem Stand der Technik.

Ich möchte womöglich eben nicht, dass jemand einfach mithören kann. Und das dem Stand der Technik entsprechende Mobilfunktelefon ist aber für sich noch genommen keine Antwort auf die Frage, ob ich jetzt im Unternehmen überall solche Telefone anschaffen muss und wäre dann in der Tat von einem Unternehmen zum Beispiel schlicht zu prüfen und kommt wahrscheinlich auch zurecht in aller Regel zum Ergebnis, nein, ich muss das nicht einsetzen, obwohl es dem Stand der Technik entspricht. Und damit ist man auf dieser zweiten Ebene, auf dieser subjektiven Ebene.

Und die kommt direkt aus den Gesetzen, wo man sehen kann, ablesen kann, wie streng verpflichtend eigentlich der Gesetzgeber mit diesem Punkt Stand der Technik umgeht. Das ist nämlich höchst unterschiedlich von Gesetz zu Gesetz beziehungsweise bei den verschiedenen Maßnahmen. Gut, dann habe ich da schon mal einige Beispiele aus dem Alltag.

Vielen Dank erstmal dafür. Dann als nächstes eine ganz wichtige Frage. Wie bestimmt man eigentlich den Stand der Technik? Einmal wird es ja bestimmt eine Definition zum Stand der Technik geben und dann auch nochmal eine Methode.

Könnt ihr erstmal auf das eine und dann auf das andere darauf eingehen? Ja, gerne. Also die Definition wird man in zusammengefasster, in verkürzter Form ungefähr so formulieren können, dass der Stand der Technik nämlich die am Markt verfügbaren Bestleistungen

bezeichnet. Von was? Nämlich von IT-Sicherheitsmaßnahmen zur Erreichung von gesetzlichen IT-Sicherheitszielen.

Das klingt ein bisschen kompliziert trotz der Kürze, meint aber quasi die Speerspitze der Leistungen im Bereich der IT-Sicherheit. Und das auf der besagten rein objektiven Feststellungsebene. Wenn man in die Rechtsprechung guckt, dann stellt man fest, dass Ende der 70er Jahre schon das Bundesverfassungsgericht, das ein bisschen anders eingeschätzt hat in der sogenannten Kalkar-Entscheidung.

Das ist eine der maßgeblichen Entscheidungen für den Begriff Stand der Technik in der deutschen Rechtsprechung. Da hat das Gericht eine Feststellung treffen müssen über Bestimmtheitserfordernisse im technischen Sicherheitsrecht. Wir sind inzwischen aber schon ein bisschen weiter.

Die Entscheidung ist alt. Inzwischen können wir die beiden Ebenen objektiv und subjektiv ziemlich gut trennen und sollten uns daran orientieren. Genau das macht übrigens auch die Handreichung.

Und so ist inzwischen auch der allgemeine Usus sowohl im Recht als auch in der Technik entsprechend zu unterscheiden. Ich schließe da sehr gerne direkt an und würde einfach zwei Perspektiven ausführen. Auf der einen Seite ist es ja unser Arbeitskreis.

Im Arbeitskreis setzen wir eine Methode ein, um den Technologiestand, wie ich es nenne, der von uns beschriebenen Maßnahmen einzuordnen. Das heißt, wir haben zwei wesentliche Dimensionen definiert. Einmal die Anerkennung durch die Fachleute und dann die Bewährung in der Praxis.

Je Dimension sind mehrere Kategorien von Fragen definiert. Hier geht es darum, die Maßnahme aus verschiedenen Blickwinkeln zu betrachten und sie zu bewerten. Die Fragen sind bewusst einfach formuliert und können auch in der unternehmerischen Praxis adaptiert werden.

Die Besonderheit des Arbeitskreises liegt schlicht in der Zusammensetzung der Teilnehmer, die jede Maßnahme interdisziplinär aus dem jeweiligen Blickwinkel betrachtet. Ich muss zugeben, das erfolgt nicht immer konfliktfrei, aber ist meiner Ansicht nach gut so. Denn wir wollen ja die Themen offen diskutieren.

Wir wollen uns gerade darüber austauschen, ob die Maßnahme tatsächlich aus unserer Sicht entsprechend eingeordnet werden kann, aus Stand der Technik oder eben nicht. Und erst wenn wir Konsens gefunden haben, wird eine Maßnahme veröffentlicht. Die zweite Sicht, die Sicht des Unternehmens, sie gestaltet sich möglicherweise etwas anders oder etwas schwieriger.

Denn dort gibt es ja kein Gremium, das die eingesetzten Maßnahmen bewertet. Üblicherweise geht man von den Unternehmensassets aus mit einer Analyse des Schutzbedarfs. Da wird der Schutzbedarf festgestellt.

Darauf folgend werden entsprechende Maßnahmen identifiziert und dokumentiert, die zum Schutz der Unternehmensassets eingesetzt werden. Und machen wir uns nichts vor, bei den

Unternehmen fängt man nicht auf der grünen Wiese an, sondern die Maßnahmen sind eigentlich schon da. Gerade deswegen ist es wichtig, sie regelmäßig zu überprüfen, zu schauen, ob die Aktualität und die Wirksamkeit der Maßnahmen tatsächlich im Vergleich zu der aktuellen Bedrohungslage immer noch hinreichend ist.

Und man kann die Bestimmung des Stand der Technik oder der Aktualität der Maßnahmen kann man natürlich auf Grundlage festgelegter Kriterien machen, so ähnlich wie unsere Fragen. Oder es werden die eingesetzten Maßnahmen mit den empfohlenen oder aktuellen Maßnahmen marktverglichen und bewertet. Und um einfach über den Tonus zu sprechen, dann erfolgt das meistens mit dem ohnehin vorgesehenen Tonus für die Validierung eines ISMS, eines Informationssicherheitsmanagementsystems.

Thomas, ganz kurz, du redest von Maßnahmen. Ist das so etwas wie eine Handlungsempfehlung oder wie kann ich eine Maßnahme verstehen? Das ist eine Sicherheitsmaßnahme. Das Beispiel ist die Multifaktor-Autodurchziehung.

Dabei ist es ja auch wichtig zu verstehen, dass wir natürlich zwischen mindestens zwei Arten, also von Gesetzes wegen wird zwischen den technischen und organisatorischen Maßnahmen unterschieden. Das heißt, da haben wir schon zwei Arten. Und das Besondere daran ist ja eigentlich, dass die Einordnung der technischen Maßnahmen, also Multifaktor-Autodurchziehung, relativ einfach erscheint, diese zu bewerten.

Hier ist der technische Fortschritt betreibbar, über den auch in der Fachwelt berichtet wird. Gerade gesagt, also Beispiele sind die Authentisierungs- oder Verschlüsselungsmethoden, die am Markt verfügbar sind und von Fachleuten anerkannt sind. Bei den organisatorischen Maßnahmen hingegen ist das etwas schwieriger, denn hier ist es nicht der technische Fortschritt betreibbar, sondern vielmehr die Bewährung in der Praxis.

Das heißt, es müssen Maßnahmen sein, die tatsächlich eingesetzt wird auf der einen Seite, aber die hat sich wirklich bewährt und hilft, entsprechenden Schutz zu erreichen. Das Beispiel ist die Durchführung einer Serverhärtung. Serverhärtung ist eine sehr sinnvolle Maßnahme, die auch organisatorisch verankert und regelmäßig überprüft werden muss, ebenso wie die Überprüfung und Installation von Sicherheits-Patches.

Okay. Es sind ja jetzt schon öfters die Begrifflichkeiten DSGVO, ITSEG, Stand der Technik und so weiter und so fort aufgekommen. Ihr werft die auch gerne durch den Raum mit Abkürzungen.

Könnt ihr vielleicht das Ganze nochmal in einen Zusammenhang bringen, dass man das Ganze vielleicht auch ein bisschen besser versteht, wie diese Begrifflichkeiten zusammenhängen, was das Ganze bedeutet? Das ist ja ein Thema für Carsten, glaube ich. Ja, der Begriff der Stand der Technik, der ist in verschiedenen Kontexten eingeführt worden, um an verschiedenen Stellen das Maß von IT-Sicherheit zu erhöhen. Das ist sozusagen der Anlass für den Gesetzgeber, an verschiedenen Stellen aktiv geworden zu sein oder noch aktiv zu werden.

Und deswegen haben wir verschiedene Gesetze. Einmal das IT-Sicherheitsgesetz. Das IT-Sicherheitsgesetz, wo man sich so vorstellen, dass es ein sogenanntes Artikeländerungsgesetz ist und dadurch verschiedene andere schon bestehende Gesetze

geändert hat, geupgradet hat und ansonsten aber keine eigenständige Bedeutung darüber hinausgehend hat, hat dafür gesorgt, dass der Stand der Technik jetzt eben in verschiedenen anderen Gesetzen auftaucht.

Und dort wird er verpflichtend eingerahmt und hat allerdings, und das ist wichtig für die Beantwortung deiner Frage, einfach verschiedene Gesetzesadressaten. Mit Gesetzesadressaten meint man diejenigen, die nun verpflichtet werden. Und verpflichtet werden auf den Stand der Technik völlig unterschiedliche Zielgruppen, wenn ich das mal so unjuristisch sagen darf.

Zum Beispiel einmal die Kritis-Betreiber. Die Kritis-Betreiber sind die Betreiber von kritischen Infrastrukturen. Das sind genau die Unternehmen von besonderer Bedeutung für das Gemeinwohl, die im Fokus des IT-Sicherheitsgesetz von Anfang an standen.

Da sind ungefähr derzeit 1.600 Unternehmen von betroffen, werden jetzt ein paar mehr durch das IT-Sicherheitsgesetz 2.0. Also nicht besonders viele, so ganz große Unternehmen wie Energieversorger, Telekommunikationsnetzbetreiber, große IT-Unternehmen, große Banken und Versicherer, im Gesundheitswesen große Krankenhausketten etc. pp. Wer dazu gehört, der stellt das anhand von bestimmten Kennziffern und Kennzahlen fest, die in einer eigenen Verordnung niedergelegt sind.

Und inzwischen sind auch noch weitere Gruppen, weitere Verpflichtete hinzugekommen durch das IT-Sicherheitsgesetz 2.0. Allerdings in einer etwas anderen Form als die Kritis-Betreiber. Und dann gibt es eine ganz andere Ebene, wo der Stand der Technik eine Rolle spielt. Und dann gibt es eine ganz andere Ebene, wo der Stand der Technik eine Rolle spielt, nämlich die DSGVO gibt dort in Artikel 32 vor, was man alles machen muss im Rahmen von Informationssicherheit und IT-Sicherheit, wenn man Daten mit Personenbezug verarbeitet.

Und das gilt unabhängig von der Größe des Unternehmens, unabhängig von der Bedeutung des Unternehmens und gilt sogar dann, wenn es gar kein Unternehmen ist, sondern sich um eine öffentliche Stelle oder eine Behörde handelt. Und insofern sprechen wir zwar hier über den Stand der Technik in der IT-Sicherheit aus der gesetzlichen Perspektive, aus der rechtlichen Perspektive sind aber völlig unterschiedliche Bereiche betroffen. Und jetzt wird es noch komplizierter.

Diese Bereiche sind nicht sauber voneinander abgetrennt, sondern überschneiden sich häufig. Man stelle sich das alleine schon vor im Bereich eines Telekommunikationsnetzbetreibers, der natürlich auf jeden Fall und immer auch zwingend Daten mit Personenbezug verarbeitet und schon im Anwendungsbereich von mehreren Gesetzen ist, also aus verschiedenen Richtungen kommt, Vorgaben zu erfüllen hat in Sachen IT-Sicherheit und das irgendwie parallelisieren muss und synchronisieren muss und das eine erhebliche Herausforderung ist mit nicht wenigen Aufwänden, die da entstehen und auch nicht mit wenigen Rechtsrisiken, die dann noch verbleiben bei der Umsetzung. Das ist so jetzt mal im groben der Kontext, den ich da vielleicht zu deiner Frage mal darstellen kann.

Vielen Dank, Carsten. Es gibt die branchenspezifischen Sicherheitsstandards des BSI, B3S nennen sich diese. Was heißt das genau für die Kritisbetreiber? Ihr hattet es schon ein bisschen angedeutet mit Kritisbetreibern.

Ja, die B3S, diese branchenspezifischen Standards, die sind im Prinzip ein im Gesetz, welches sage ich gleich, vorgesehenes Tool, damit nämlich Kritisbetreiber schneller, besser, einfacher auf einem ganz bestimmten formellen Wege nachweisen können, dass sie die gesetzlichen Anforderungen an die IT-Sicherheit auch umsetzen. Und Kritisbetreiber sind nicht verpflichtet, sich dieses Tools zu bedienen. Wenn sie es denn tun, dann brauchen sie eine sogenannte Eignungsfeststellungserklärung von dem dazugehörigen Amt.

Und welches Amt ist gemeint? Das ist gemeint ist das BSI, das Bundesamt für Sicherheit in der Informationstechnik. Und genau in dem Gesetz dazugehörig, im sogenannten BSIG, steht dann auch, dass man diese B3S verwenden kann. Und in dem Kontext dieser Mindeststandards spielt der Stand der Technik natürlich eine große Rolle.

Denn diese Mindeststandards müssen ja nun genau Maßgaben dazu enthalten, wie sie mit dem Stand der Technik umgehen. Tun sie das nicht, können sie eigentlich keine Eignungsfeststellungserklärung erhalten vom BSI. Denn dann wären ja gerade diese Branchen Mindeststandards nicht dazu geeignet, nachzuweisen, dass man die Anforderungen insgesamt an die IT-Sicherheit umsetzt.

In der Praxis ist das schwierig. Wir kennen, Thomas und ich, diverse Branchen Mindeststandards, die am Markt schon existieren. Die sind ja bei Weitem nicht alle öffentlich zugänglich.

Und die, die man durchgesehen hat, die wir sicherlich hier und da unterschiedlich auch durchgeschaut haben, die lassen halt erkennen, dass zum Stand der Technik in aller Regel nichts niedergelegt ist, was den Methoden, die man heutzutage anwenden kann, eigentlich entspricht. Sondern da wird noch auf einem anderen Level mit umgegangen. Und das haben wir auch schon öfter zur Diskussion gestellt.

Und ist etwas, was wir auch als problematisch erkennen im Zusammenhang mit diesen eigentlich sonst sinnvollen B3S. Thomas, willst du auch noch mal was zu B3S sagen? Ja, also ich finde, Karsten, vielen Dank für die ausführliche Beschreibung. Also das trifft auch mein Verständnis wieder.

Auch wenn es in B3S formuliert ist, dann bedeutet das wirklich nicht zwingend, dass das, was dort beschrieben ist, Stand der Technik ist. Also sehr oft wird beispielsweise auf die ISO-Norm 2701 verwiesen. Aber das ist ja bei Weitem nicht hinreichend konkret.

Das ist übrigens vielleicht ein ganz guter Punkt, um überhaupt noch mal auf ein Missverständnis hinzuweisen, ein potenzielles. Es wird immer wieder angenommen, dass bestimmte, auch zum Teil untergesetzliche Regelwerke den Stand der Technik ja von sich aus schon definieren und beschreiben würden. Zum Beispiel technische Richtlinien des BSI, die sogenannten TRs.

Die haben da noch eine Nummer und eine entsprechende Bezeichnung. Grundschutz, BSI Grundschutz. Oder auch genau richtig, der BSI Grundschutz, beziehungsweise die einschlägige ISO-Norm, die ISO 27001 und die, die noch zu dieser Familie der Normen dazugehören.

Da muss klar sein, und das ist inzwischen eben auch klar, dass diese Regelwerke den Stand der Technik nicht definieren, weil sie Regelwerke sind. Sondern natürlich können sie, gerade wenn sie noch von den Inhalten her jung sind, den Stand der Technik für eine gewisse Zeit auch beschreiben. Warum denn auch nicht? Aber sie sind selbst nicht in der Lage quasi qua Definitionen den Stand der Technik dort zu fixieren.

Sondern der entwickelt sich nun mal dynamisch weiter. Und das eben außerhalb auch derjenigen, die solche Regelwerke aufbauen. Das hat übrigens auch den Gesetzgeber ein bisschen Überwindung gekostet, weil wenn man sich die Entwürfe zum jetzigen IT-Sicherheitsgesetz 2.0 anschaut, dann stellt man fest, dass da in einer frühen Phase tatsächlich angedacht war, dass eine Behörde, das BSI, quasi selbst definiert, was der Stand der Technik ist.

Und dann sollte es so eine Fiktion geben. Wenn man sich daran hält und das macht, was in der technischen Richtlinie stünde, dann würde man eben auch da mit dem Stand der Technik quasi positiv erledigt haben. Das ist Gott sei Dank nicht in das IT-Sicherheitsgesetz 2.0 übernommen worden, weil es systematisch einfach falsch gewesen wäre.

Und derzeit steht zwar noch im IT-Sicherheitsgesetz 2.0 bzw. im BSIG, dass das BSI selbst den Stand der Technik beschreiben und veröffentlichen darf. Aber beschreiben tun die dann nur im einen Stand der Technik.

Das ist aber nicht verbunden mit einem Alleinstellungsmerkmal oder mit der Behauptung, dass das kein anderer könnte oder dass das womöglich in jedem Fall sozusagen eindeutig richtig sein muss. Sondern die werden da methodisch ähnlich rangehen, wie wir das beim Bundesverband IT-Sicherheit im Arbeitskreis übrigens auch machen. Wer definiert denn genau den Stand der Technik bzw.

ist er überhaupt zu definieren? Es gibt meiner Ansicht nach keine eindeutige Behörde, die wirklich den Stand der Technik als solche definiert. Wir haben im Arbeitskreis eine Methode entwickelt, mit der man auch den Stand der Technik bestimmen kann, einordnen kann. Diese kann natürlich jedes Unternehmen entsprechend für sich beantworten und anwenden.

Ist es abhängig vom Anwender sozusagen, wenn ich das richtig verstehe? Das wäre abhängig vom Anwender, wobei er natürlich für sich selbst erstmal definieren muss, welche Unternehmensessenz ich habe, welchen Bedarf habe ich, welche Maßnahmen wäre eigentlich diejenige, die ich dann einsetzen würde. Ich würde gerne nochmal einen Schritt zurückgehen. Wenn du fragst, Franziska, wer eigentlich den Stand der Technik definiert, dann würde ich es gerne nochmal versuchen, ein bisschen aufzusplitten.

Also die Definition würde ich gerne trennen von der Frage, wer wendet die Definition an, also wer bestimmt dann, was der Stand der Technik ist,

Auf Grundlage einer Definition. Wir haben vorhin den Stand der Technik versucht zu beschreiben und gesagt, was heutzutage unter dem Stand der Technik verstanden wird. Das wäre dann die Definition.

Das betrifft die Bestleistungen, die am Markt verfügbar sind, um hier IT-Sicherheit umzusetzen. Und das, worauf Thomas völlig richtigerweise hinweist, ist, wer wendet es an. Natürlich der Arbeitskreis selber, der hat dazu eine Methode entwickelt, wie man eigentlich feststellt, ob bestimmte Maßnahmen, die es eben am Markt gibt, diesen Kriterien dort entsprechen.

Dort werden diese Fragen gestellt, dort wird die Antwort bewertet und in der Gesamtschau kommt dann quasi das messbare Ergebnis raus. Ja, gehört zum Stand der Technik oder nein, gehört nicht dazu. Das ist gerade die Leistung dieser Handreichung, dass man das so ein Stück weit dort ablesen kann und die Ergebnisse, die dort zusammengetragen worden sind, Ergebnisse sind aus der Befassung eines Expertengremiums.

Hineinreferenzieren oder darauf referenzieren als maßgebende Instanz oder als Maßgabe kann man sehr gut machen. Das Unternehmen für sich, wenn es eine andere Methode anwenden möchte, kann das natürlich tun. Deshalb, weil es gerade dazu konkret keine gesetzlichen Vorgaben gibt, wie man zu dem Stand der Technik kommt.

Und ganz wichtig ist auch eben tatsächlich, es gibt dazu, wie Thomas schon gesagt hat, keine passende Aufsichtsbehörde. Am Ende des Tages würde aus der rechtlichen Perspektive, wenn es nämlich darum geht, ob ein Gesetz eingehalten wurde oder nicht, der Richter oder die Richterin feststellen, dass etwas dem Stand der Technik zugänglich war oder nicht und natürlich das auch nur tun mithilfe von IT-Sicherheitsexpertinnen, also einer Gutachterin oder einem Gutachter. Und diese Ebene zwischen Definition und der Anwendung, gehört etwas dazu oder nicht, die ist eben noch mal von der dritten Ebene zu trennen, nämlich der Frage, wenn jetzt die Unternehmen festgestellt haben, aha hier habe ich etwas als zum Stand der Technik zugehörig entdeckt und ermittelt, muss ich das jetzt einsetzen oder darf ich es einsetzen? Und damit ist auch dann die Frage verbunden, ob ich quasi IT-Sicherheitsbudget ausgeben muss oder ob ich das freiwillig tue.

Bin ich noch in der Erfüllung von gesetzlichen IT-Sicherheitsanforderungen oder bin ich einfach nur dabei, meine IT-Sicherheit zu optimieren, weil ich es kann und weil ich es möchte? Und auch zu dieser dritten Ebene, zu dieser letzten Frage, ist das freiwillig oder muss ich das tun, gibt es inzwischen Methoden, die man da sehr gut anwenden kann und deswegen, um den Bogen quasi noch mal da zurückzuspannen, zur Frage, wer macht das dann eigentlich und wie macht man das, bitte einem Vorbehalt, den man oft hört, nicht erliegen, nämlich dem Vorbehalt, man könne doch den Stand der Technik nicht bestimmen, weil er sich gerade ständig ändern wird oder weil unklar ist, zu welchem Zeitpunkt man quasi definieren muss. Nein, es gibt für beide Ebenen, die beiden letztgenannten Ebenen, immer eine gute anwendbare Methode und auf der ersten Ebene muss ich eben nur mit einer sauberen Definition anfangen, dann lässt sich da auch ein gutes Ergebnis erzielen. Also, der Stand der Technik ist zu definieren, trotzdessen er sich fortlaufend aktualisiert, aber es ist nicht die Aufgabe der Aufsichtsbehörden, beziehungsweise die Rolle der Aufsichtsbehörden.

Wir hatten jetzt die Aufsichtsbehörden schon ein, zweimal angedeutet, vor allem das BSI. Was ist denn dann die Rolle der Aufsichtsbehörden? Die Rolle der Aufsichtsbehörden ist, wie der Name sagt, die, die zu beaufsichtigen Unternehmen darauf hin zu kontrollieren und einen Blick zu behalten, teilweise auch zu beraten, dass die speziellen gesetzlichen

Anforderungen eingehalten werden und diese Aufsichtsbehörden gibt es teilweise quasi branchenübergreifend. Das ist zum Beispiel die Landesdatenschutzaufsichtsbehörde, die sich eben um völlig unterschiedliche Unternehmen zu kümmern hat, eben um so weit es sich um die Verarbeitung von Daten mit Personenbezug handelt und dann gibt es die bereichsspezifischen Aufsichtsbehörden, zum Beispiel die BaFin für Banken und Versicherungen, beziehungsweise die Finanzwirtschaft oder eben die Bundesnetzagentur für den Bereich der zum Beispiel Telekommunikationsnetze.

Und gemein ist den Aufsichtsbehörden, dass sie an den verschiedenen Stellen tatsächlich auch den Stand der Technik mit zu prüfen haben, mit zu berücksichtigen haben in ihren Prüfungsprogrammen. Thomas mag mir vielleicht da gleich widersprechen, nach meinem Kenntnisstand hat keiner der Datenschutz- und anderen Aufsichtsbehörden bislang einen validen Plan dazu, wie man eigentlich nach dem Stand der Technik zum Beispiel Audits durchführt. Das nicht zwingend, da muss ich dir tatsächlich widersprechen ein bisschen.

Also ich gebe dir einerseits recht, wenn es darum geht in unserem Sinne tatsächlich Stand der Technik in der IT-Sicherheit zu prüfen nach unserem Verständnis, das kenne ich nicht, aber es gibt IT-Sicherheitskataloge, die natürlich die Binetz A entsprechend veröffentlicht hat, an der die Unternehmen geprüft werden, mit den logischerweise auch entstehenden Probleme, weil das sind eigentlich die B3S am Ende des Tages, also die Branchenstandards, wo gegen ihr auch geprüft wird. Okay, aber ich muss da noch mal einhaken, weil ich es noch nicht ganz 100 Prozent nachvollziehen kann. Das BSI prüft, ob der Stand der Technik eingehalten wird, aber das BSI definiert ihn nicht und Stand der Technik ist ja eigentlich demnach kein Gesetz.

Richtig, der Stand der Technik ist kein Gesetz. Lass es mich noch mal so versuchen, der Begriff taucht zwar in einem Gesetz auf, in mehreren Gesetzen taucht er auf, aber er verweist in die Welt der Technik, in die Welt der IT-Sicherheitstechnik und dort muss er mit Inhalten gefüllt werden und das kann tatsächlich nur in Expertenkreisen geschehen, die sich darüber auseinandersetzen unter den Maßgaben, die der Thomas vorhin genannt hat, unter welchen Faktoren beziehungsweise Vorgaben etwas schon oder noch in den Bereich Stand der Technik fällt und vielleicht da irgendwann reinfällt, aber eben auch vielleicht irgendwann wieder rausfällt. Das kann weder ein Gesetz noch eine Behörde qua Status festlegen.

Also nur, weil es zum Beispiel ein sogenanntes Subordinationsverhältnis gibt. Da oben ist der steuernde Staat, der die Regulatorik mitbringt und da unten ist das Unternehmen oder der Bürger, der dieses Recht anzuwenden hat, ist das keine Struktur, innerhalb derer der Staat quasi abstrakt vorgeben kann, das eine gehört zum Stand der Technik und das andere nicht. Das heißt, es kann durchaus sein, dass mal eine Behauptung einer Behörde etwas gehöre zum Stand der Technik vor einem Gericht nicht standhält oder von einem Gutachter schlicht anders gesehen wird.

Die Praxis ist die, dass noch, das wird sich wahrscheinlich ändern, die Praxis ist die, dass die Behörden in aller Regel deutlich weniger detailliert prüfen, als sie es eigentlich nach den bekannten Methoden tun müssten und insofern bin ich auch eben bei der Einschätzung von Tomasch, ja, die eine oder andere Behörde hat da was zu auf dem Zettel, aber es ist nicht das, was man eigentlich heutzutage prüfen müsste, sozusagen die Prüfung selbst ist nicht

Stand der Technik, sie ist selber nicht State of the Art. Genau so sehe ich das, genau so sehe ich das, Carsten, ja. Das ist ja gut, dass ihr euch einig seid.

Jetzt frage ich dazu aber noch eine kleine Sache, nur mit Ja oder Nein, bitte antworten. Ist Deutschland überhaupt in diesem Thema auf dem Stand der heutigen Zeit? Nein. Ich weiß nicht, wie ich die Frage zu verstehen habe.

Aus meiner Perspektive habe ich verstanden, die Aufsichtsbehörden sollen es prüfen, sie definieren es aber nicht. Ich habe verstanden, warum sie es nicht definieren, aber vor Gericht kann der Fall wieder ganz anders dargelegt sein. Es klingt, wie oft in Deutschland, muss ich sagen, kompliziert, schwer für Außenstehende zu verstehen und innerhalb von Deutschland oder der Aufsichtsbehörden oder wie man das auch formulieren kann, auch schwer umsetzbar.

Okay, verstanden, aber dann nehme ich mir die Freiheit nicht nur mit Ja oder Nein zu beantworten, weil das kein deutsches Phänomen ist, sondern das hat was mit dem Abstraktionslevel von gesetzlichen Normen zu tun. Das hat man in anderen Bereichen auch, ist also tatsächlich eher ein systemisches Thema in der Juristerei, wie Gesetze gefasst werden müssen und wie da die Rolle von Aufsichtsbehörden aussehen. Was ein Gesetzgeber tatsächlich machen könnte ist, er könnte ja zum Beispiel, wie man das im technischen Umweltschutz macht, bestimmte Messwerte festlegen, die dann relevant wären.

Gibt es aber in der IT-Sicherheit bislang nicht, deswegen müssen wir es quasi ausfüllen. Das hat bislang keine Behörde so klar gemacht und bis dahin kann man tatsächlich zu unterschiedlichen Ergebnissen kommen. Mein Eindruck ist, dass die Methode selbst nicht das Problem ist.

Trotzdem hast du völlig recht, Franziska, es ist sehr komplex, es ist ein hyperkomplexes Thema, gerade deshalb auch, weil die Gesetze ein bisschen unterschiedlich aufgreifen, selber eben nicht einheitlich aufgreifen, weder quasi bei dem sogenannten Tatgestand, noch bei der Rechtsfolge oder beim Anwendungsbereich, also egal wo man da hinguckt, da hat man es mit unterschiedlichen Anforderungen zu tun, das quasi zu orchestrieren. Das ist die Herausforderung für die IT-Sicherheitsexpertinnen und für die Juristinnen. Gut, dann will ich Thomas, ja nein, ich habe es ganz bewusst mit nein beantwortet, relativ einfach.

Aus meiner Sicht, du hast natürlich gewünscht, dass wir eine relativ einfache Antwort liefern, das habe ich getan, meiner Ansicht nach zur Begründung. Die Frage, die ich mir stellen würde, ist, ist die IT-Sicherheit in Deutschland am Stand der Technik der IT-Sicherheit ausgerichtet? Und da sage ich ganz klar nein, ist es nicht, aus verschiedenen Gründen. Die Antwort kann sehr komplex sein, das erspare ich an der Stelle.

Ich glaube, der Punkt, den du erwähnt hast, Konkretisierung tatsächlich im Gesetz, so ähnlich wie im Bundesimmissionsschutzgesetz, für den Bereich IT-Sicherheit oder Informationssicherheit, wenn man es etwas breiter betrachtet, stelle ich mir sehr, sehr schwierig vor. Das heißt, da kann man sehr, sehr schlecht tatsächlich Schwellen definieren, die einzuhalten wären, weil Stand der Technik sich einfach fortlaufend entwickelt. Wir haben unterschiedliche Bedrohungslagen und, und, und, und.

Also es gibt sehr, sehr viele Sachen. Genau das hat man versucht, auch mit der Kritisverordnung zu machen und meiner Ansicht nach, müsste man tatsächlich noch eine Schippe drauflegen. Das ist meiner Ansicht nicht hinreichend.

Danke, Carsten. Danke, Thomas, an dieser Stelle. Wir verlassen ein bisschen das Glatteis wieder.

Es hat mich jetzt nichtsdestotrotz sehr interessiert. Ich wollte da mal ein bisschen nachbohren und ich habe gesehen, wo auf jeden Fall der Tisch ein bisschen wackelt. Was mich jetzt noch interessieren würde, wie wird sich der Stand der Technik noch in der Zukunft entwickeln, beziehungsweise welche Positionen denkt ihr, dass der Stand der Technik einnehmen kann oder wird? Fangen wir diesmal an.

Wir haben ja gelernt, der Stand der Technik ist einer Maßnahme, verändert sich kontinuierlich. Das passiert ja nicht jeden Tag, aber stetig. Es gibt ja immer wieder technische Entwicklung, es gibt fortschrittliche Technologien, die eingesetzt werden, eine höhere Rechenkapazität, neue Bedrohungsszenarien, dazu folgen neue Abwehrmethoden und, und, und, und verschiedene Maßnahmen, die eine Rolle spielen.

Wenn man so rein theoretisch unterwegs ist, also was wissenschaftlich unterwegs ist, dann könnte man ja so einen schönen Bogen schlagen von dem Zeitpunkt, wo ursprünglich eine bestimmte Maßnahme entwickelt wird, sagen wir dazu Stand der Wissenschaft und Forschung, also irgendwo im Labor wird etwas entwickelt, dann erfolgt eine Markteinführung und in diesem Moment erfolgt genau dieser Wechsel zum Stand der Technik. Mit zunehmender Verbreitung und Anerkennung in der Praxis kommen wir zu den sogenannten allgemeinen anerkannten Regeln der Technik. So, jetzt mal angenommen, diese Maßnahme verliert die Anerkennung, also durch Kompromittierung und zwar egal in welchem Stadium, ist die Maßnahme nicht mehr einsetzbar.

Einfach so, um den Hintergrund ein bisschen zu erklären. In unserer Handreichung, ich beziehe mich nur ganz kurz nur an die Handreichung, spielen wir eine Momentaufnahme wieder. Das heißt, wir bewerten zu dem jeweiligen Zeitpunkt, was aus unserer Sicht zum Stand der Technik einzuordnen wäre und das machen wir in einem Maßnahmenkatalog für die technischen und organisatorischen Maßnahmen.

Und jetzt noch mal zurück auf deine Frage, gezielt zu kommen, also ich rechne damit, dass der Stand der Technik im Bereich nicht nur IT-Sicherheit, sondern Informationssicherheit zukünftig an Bedeutung gewinnen wird. Das hat mit der Zunahme von Angriffen auf Unternehmen zu tun, denn um die Unternehmen zu schützen, müssen sie ihre Maßnahmen stärker als bisher an dem Stand der Technik ausrichten. Die müssen ja diese dynamische Entwicklung der Maßnahmen fortlaufend überwachen, die Maßnahmen fortlaufend anpassen.

Insofern meiner Ansicht nach wird es definitiv zunehmen. Ja, bin ich dabei. Zukünftig wird es heißen, täglich grüßt der Stand der Technik.

Der Stand der Technik wird für IT-Sicherheitsvereinbarung eine zudem eine Rolle spielen, für Verträge mit Kunden und Subunternehmern, mit Zulieferern eine wesentliche Rolle spielen, auch gerade dann, wenn ich selbst kein Kritisbetreiber bin. Der Stand der Technik wird in

den nächsten Jahren nicht mehr wegzudenken sein aus den klassischen Leistungsverträgen, die irgendeinen Technikbezug haben. Da bin ich wirklich fest von überzeugt.

Und das hat damit zu tun, dass man feststellen kann, dass in den letzten Jahren bis Jahrzehnten die juristischen Grundlagen, nämlich die Vereinbarung, die Verträge hinsichtlich IT-Sicherheit grottend schlecht waren, ein unglaublich, ein frappierend schlechtes Niveau hatten. Wenn man das gerade auch vergleicht mit der Technik selbst, fällt das massiv auf. Und das wird sich ändern und das muss sich auch ändern.

Wir haben viele Anbieter mit hervorragender Technologie, Software, Hardware, Beratung, Lösungen für alles mögliche inklusive methodischem Herangehen. Und in dem Moment, wo das vereinbart wird, wo man das einkauft oder verkauft, haben wir plötzlich ein massiv schlechtes Niveau, sodass der Kunde kaum eine Möglichkeit hat, seine Ansprüche dort durchzusetzen, klar zu erkennen, wo der Anbieter vertragsuntreu geworden ist. Und andersrum kann der Anbieter auch ganz schlecht prüfen, ob er sich eigentlich noch und inwieweit an den Vertrag hält.

Und vor allem müssen solche Verträge mit dem Bezügenszustand der Technik ja auch agil sein. Sie müssen selber eine gewisse Dynamik aufweisen. Dazu gibt es inzwischen Methoden.

Wir wissen inzwischen, wie man solche Verträge macht. Das passiert aber noch viel zu selten. Und das habe ich schon gesagt, wird sich ändern.

Und das kann man auch erkennen jetzt schon, dass sich das ändert, weil spätestens seit dem 24.02. dieses Jahres sich die Perspektive der Auftraggeber massiv verändert hat. Auf kleiner Ebene, auf der Ebene der Mittelständler, auf der Ebene der Großunternehmen sowieso und bei der öffentlichen Vergabe bzw. Beschaffungswesen eben auch und erst recht.

Insofern müssen sich zukünftig Juristinnen und Juristen auch mit solchen technischen Einzelheiten, hätte ich jetzt fast gesagt, also mit solchen technischen Maßgaben und Vorgaben intensiv auseinandersetzen und sich wirklich endgültig davon verabschieden, in Verträge nur noch hineinzuschreiben, der Stand der Technik soll berücksichtigt werden oder der und derjenige sei verpflichtet, das und das nach dem Stand der Technik umzusetzen. Das ist nicht das, was man vereinbaren muss, wenn man entsprechende Verträge zu schließen hat, die dann auch ein bisschen halten sollen und die ein bisschen belastbar sind. Insofern meine Antwort auf die Frage, auch die Bedeutung wird nicht mehr zurückgehen, sondern die Bedeutung des Stands der Technik wird stabil bleiben bis massiv zunehmen.

In welcher Geschwindigkeit die Bedeutung zunehmen wird, ist vielleicht noch nicht ganz klar, aber das wird sich in Wälde zeigen. Spätestens dann, wenn wir die Nistrichtlinie 2 sehen und wenn wir eine gewisse Drittwirkung sehen. Man kann nämlich noch eines beobachten, dass das IT-Sicherheitsgesetz und überhaupt IT-Sicherheitsgesetze, die für bestimmte Zielgruppen gemacht sind und 2015 ja gerade für die Kritisbetreiber gedacht waren, eine Drittwirkung haben auf andere Vertragsverhältnisse, von denen Kritisbetreiber überhaupt nicht betroffen sind.

Und das merkt man in anderen Bereichen auch. Das war bei der DSGVO so oder jetzt seit dem Januar dieses Jahres haben wir zum Beispiel ein neues Schuldrecht. Wir haben ein stark

reformiertes bürgerliches Gesetzbuch, in großen Teilen wesentlich neues BGB, was digitale Produkte anders regelt, betrifft also neue Regelungen für digitale Produkte im Bereich Business to Customer, also Unternehmen in Richtung Verbraucher.

Und jetzt ist trotzdem schon klar, dass diese neuen Vorgaben sich auch auf dem B2B, auf dem Unternehmens-Unternehmenssektor auswirken wird und da geht es zum Beispiel um die Verpflichtung der Anbieter zu Updates und explizit auch zu Sicherheitsupdates. Und an solchen Phänomenen kann man erkennen, dass es Querwirkungen gibt und die gibt es bei dem Thema Stand der Technik ganz massiv. Hier will ich mal einen Break machen.

Thomas, du bist Leiter des Arbeitskreises Stand der Technik. Carsten, du bist dort auch sehr aktiv. Ich möchte jetzt noch mal auf den Arbeitskreis Stand der Technik bei Telejust eingehen.

Wir haben jetzt oft die Wörter umhergeschmissen, Handreichung. Könnt ihr kurz und knackig, auch wenn das euer Herzensthema ist, ein bisschen drauf eingehen, was ist das Ziel der Handreichung? Wieso ist diese Handreichung so besonders? Sie wurde in mehrere Sprachen übersetzt. Wie können unsere Mitglieder, also die Mitglieder des Bundesverbandes IT-Sicherheit, Telejust, davon profitieren? Und ja, welche Aufgaben hat der Arbeitskreis? Wo würde sich hin entwickeln? So ein bisschen diese Fragen beantworten.

Franziska, so etwas mache ich sehr gerne und in der Tat ist es meine Herzensangelegenheit, das zu tun. Jedoch, ich muss Sie leider enttäuschen, kurz und knackig, das geht nicht. Das geht nicht.

Das Thema ist einfach, das liegt viel zu tief im Herzen. Aber ich versuche mein Bestes. Also mit der Handreichung wollen wir die Unternehmen unterstützen und Hilfestellung leisten bei der Bestimmung geeigneter Maßnahmen, von denen Unternehmen gefordert wurden.

Man muss die Situation nochmal rekapitulieren, was wir 2015 erlebt haben. Unser Gesetzgeber hat ja Stand der Technik gefordert, hat aber zu dem Zeitpunkt überhaupt nicht gesagt, was Stand der Technik ist. Das war eigentlich die Initialfunke für den Arbeitskreis.

Wir haben gesagt, wir müssen dem entgegenwirken, wir müssen da was tun. An der aktuellen Handreichung haben über 40 Autorinnen und Autoren gearbeitet. Darunter sind IT-Sicherheitsexperten, Juristen, Datenschützer, Berater, IT-Gutachter, die an diesem Dokument gearbeitet haben.

Aus Einfachheitshalber habe ich hier natürlich nicht gegendert, aber wir haben beides. Ich bin absolut froh darüber, dass wir eine schöne, gute Community gebildet haben mit IT-Sicherheitsexperten, die immer wieder aufs Neue Themen reinbringen, Ideen reinbringen. Übrigens, sie arbeiten unentgeltlich.

Wir haben unsere Grundsätze für die Handreichung, die haben wir zusammengeschrieben, die sind auch veröffentlicht. Und wenn es um die Inhalte des Dokumentes geht, ja, du hast es schon erwähnt, diese Handreichung ist inzwischen in drei Sprachen verfügbar. Also für uns ist Deutsch die Hauptsprache, weil wir natürlich darüber kommunizieren und das war eigentlich unsere Initialversion.

Danach kam die englische Version und die niederländische. Die englische Version wurde in Zusammenarbeit mit der ENISA erarbeitet. ENISA ist die Agentur der Europäischen Union für Cyber Security.

Also so ähnlich wie das BSI, nur eben für die Europäische Union. Und da sind wir schon sehr stolz drauf, dass wir auch die Anerkennung bekommen haben, dass wir zusammengearbeitet haben und die englische Version zusammen mit ENISA veröffentlicht haben. Warum ist die Handreichung so wichtig und warum kommt sie gut an? Sie ist als erstes in den Fachkreisen sehr bekannt, wird auch angewandt.

Also wir bekommen regelmäßig Feedback, dass diese Handreichung wirklich sehr gut gelungen ist, weil sie eben Themen konkreter beschreibt, Maßnahmen konkreter beschreibt als manch eine Norm. Insofern ist sie wirklich hilfreicher und das hilft vielen Unternehmen, nicht nur dem Verband, sondern tatsächlich außerhalb des Verbands. Darüber hinaus ist es eigentlich ein gutes Dokument.

Ich habe ja auch Feedback von vielen Professoren bekommen, dass auch die Handreichung als Schulungsmaterial verwendet wird. Und ganz kurz nur, wie soll ich mich kurz und knapp halten als Ausblick, was wollen wir denn tun? Wir werden ganz klar weitermachen. Also so wie Stand der Technik sich weiterentwickelt, so müssen wir, das ist für uns unsere Verpflichtung, die Handreichung weiterentwickeln.

Entweder die bisherigen Beiträge oder Maßnahmen aktualisieren. Die müssen vielleicht neu bewertet werden oder neu beschrieben werden, ergänzt werden. Oder wir werden neue Maßnahmen hinzufügen.

Da gibt es noch ein paar Überraschungen, aber darüber darf ich noch nicht verraten. Nicht mal einen kleinen Sneak-Peak? Vielleicht mal etwas krass. Eine Sneak-Preview wird es vielleicht nicht, aber ich würde schon gerne noch mal einige wenige Punkte aufgreifen.

Und dazu gehört vorweg, dass dem Arbeitskreis und auch dir, Thomas, da ein ganz großer Dank gebührt. Das finde ich, darf man ja ruhig mal an der Stelle sagen. Die Autorinnen und Autoren sind da sehr, sehr konsequent an dem Thema, an der Handreichung, beim Texten und beim sich Zusammenraufen und bei dem Definieren von Ergebnissen dabei, seit inzwischen Jahren.

Und auf der anderen Seite, wenn man sich anguckt, wie der Markt an Informationen aussieht, kann man, glaube ich, feststellen, dass es quasi kein vergleichbares Werk bislang im Deutschen, vielleicht sogar nicht mal im europäischen Raum gibt. Ich habe da vielleicht keinen kompletten Überblick, aber ich glaube, ich habe einen gewissen Überblick und mir ist jedenfalls kein gegenläufiges Dokument bekannt. Und deswegen ist dieses Dokument auch so wichtig.

Und ich freue mich da wirklich sehr über diesen Arbeitskreis und versuche im Vorstand nach wie vor da entsprechend sozusagen das Spiegelbild zu bilden, sodass wir dauerhaft dieses Thema vorantreiben. Dazu gehört übrigens auch, dass wir natürlich als Arbeitskreis Stand der Technik da insgesamt Content-Lieferant sind. Content-Lieferant für Beiträge, für Interviews, für Veranstaltungen, für den Teletrust eigenen IT-Sicherheitsrechtstag etc.

1. Und vielleicht noch eine klitzekleine persönliche Anmerkung, die die juristische Perspektive betrifft. Ein klitzekleines bisschen Stolz macht mich es natürlich schon auch, dass da unsere Definition zum Stand der Technik derart eingeflossen ist, dass sie jetzt auch von der ENISA halt europaweit mit ausgesteuert worden ist.

Und auch da hatte ich zwar anfänglich gedacht, na hier und da wird es vielleicht auch Gegenstimmen geben und vielleicht entsteht dann auch ein juristischer Diskurs darüber, inwieweit welche Definitionen man dann unterlegen muss. Bislang nach meinem Kenntnisstand aber quasi unwidersprochen und das zeigt einfach insgesamt die Stärke und den Impact dieser Handreichung des Arbeitskreises und eben auch die mit der Unterstützung durch die ENISA. Künftig kann ich nur zusagen, dass wir beim Teletrust weiterhin großen Schwerpunkt auf diesen Arbeitskreis legen werden, großen Fokus auf das Thema und da auch definitiv nicht nachlassen werden.

Okay, vielen Dank Thomas, vielen Dank Carsten. Das war ja sicherlich eine gehörige Menge Arbeit beim Teletrust, diese ganze Handreichung zum Stand der Technik zu erstellen, auszuarbeiten und so weiter und so fort. Und wahrscheinlich ist es ja auch recht viel Arbeit laufend.

Ich kriege das ja mit, es wird laufend aktualisiert, neue Versionen kommen raus. Wie hat sich denn der Umgang mit dem Stand der Technik durch diese Handreichung nach eurer Wahrnehmung verändert? Zwei Sätze bitte. Ich weiß, es ist eine Challenge.

Carsten? Der Umgang hat sich vertraglich beim Verhandeln massiv geändert, weil wenn man auf die Handreichung zum Stand der Technik verweist, man die Diskussion sehr schnell beenden kann. Es gibt nichts Besseres, auf das man verweisen kann. Es ist dann die vertragliche Messlatte und das ist ein ganz scharfes und hilfreiches Schwert.

Danke, Thomas. Kann ich nur bestätigen, aber das, was ich auch festgestellt habe, dass auch die Sensibilisierung und das Verständnis des Begriffes hat sich verändert. Also es wird mehr verstanden, was dahinter gemeint ist.

Die Handreichung ist wichtig und richtig und viel Arbeit, aber der Begriff Stand der Technik klingt sehr trocken, um ehrlich zu sein. Was können denn meine Generation für die Zukunft in dieser Hinsicht tun? Wie können wir den Stand der Technik auch der jüngeren Generation ein bisschen sexy verkaufen? Ich versuche mein Glück. Ich schließe meine Augen und denke an mein erstes Smartphone.

Meine Freude damals war sehr groß. Ich habe ein schickes Gerät in der Tasche und das war ein Riesenhype mit wirklich tollen Applikationen und so weiter. Inzwischen ist es absolut veraltet, sowohl funktional, designtechnisch, aber auch in Bezug auf die Sicherheit.

Am Markt gibt es eine große Anzahl von neuen Modellen, leistungsfähiger, schöner, glänzender. Wichtig ist aber auch, dass die Sicherheitsstandards eingehalten werden und der Hersteller auch lange genug erforderliche Sicherheitsupdates bereitet. Das wäre der Stand der Technik.

In diesem Zusammenhang kann ich nur sagen, sexy is safe. Okay, das ist eine Aussage. Ja, Thomas und Franziska, es muss nicht immer alles sexy sein und der Stand der Technik muss auch nicht sexy sein.

Wichtig ist, dass er wirkt und er wirkt nämlich dadurch, dass er das tut, was er tun soll und er schafft tatsächlich, ich habe es eben schon angedeutet, Sicherheit, Verbindlichkeit und tatsächlich auch ein Stück weit Entlastung. Entlastung für die Parteien, womöglich sogar auch für die Juristen und Juristen. Insofern nehme ich ihn einfach so, wie er ist.

Auch gut, danke Carsten. Letzte Frage, was sind die nächsten Schritte, um den Stand der Technik in den Unternehmen umzusetzen? Ganz kurz, Thomas, vielleicht von deiner Seite aus. Das wird vielleicht in der Tat etwas länger, aber ich versuche relativ schnell.

Das kennen wir schon mittlerweile hier. Nee, nee. Ganz klar liegt die Verantwortung für IT-Sicherheit bei der Geschäftsführung, denn nur die Geschäftsführung kann IT-Sicherheit zur Chefsache erklären und somit werden die Budgets freigegeben, um entforderliche Maßnahmen umzusetzen.

Aus meiner Sicht muss verstanden werden, dass der Handlungsbedarf nicht nur an der juristischen Notwendigkeit oder gar teilweise sehr hohen Penalen, wie zum Beispiel DSGV festgestellt wird und resultiert. Es geht darum, die Unternehmensassets und die eigene Infrastruktur zu schützen. Wird diese angegriffen, wie zum Beispiel durch mittels Ransomware, müssen die Unternehmen darauf vorbereitet sein und nicht erst im Notfall reagieren.

Für die Vorbereitungen im schlimmsten Fall müssen logischerweise Ressourcen und Budgets freigegeben werden. Und die Aufgabe wird meiner Ansicht nach nicht einfacher, wenn die erforderlichen Ressourcen im Unternehmen fehlen. Stichwort hier ist ganz klar der Fachkräftemangel, der an dieser Stelle nicht nur sprichwörtlich ist, sondern tatsächlich sehr real.

Und somit für mich ist es wichtig, diese Botschaft zu senden, dass das Thema IT-Sicherheit oder, wenn man es breiter fasst, Informationssicherheit alle Unternehmen betrifft, ohne Ausnahme. Und zwar unabhängig davon, ob das Kritisunternehmen sind oder einfach ein ganz kleines Unternehmen, das nicht zu den Kritis gehört. Dadurch, dass die Sicherheitsberater auch sehr gefragt sind am Markt, wird die Situation nicht einfacher, denn auch sie haben begrenzte Kapazitäten zur Verfügung.

Und somit mein Appell an die Zuhörer, an die Unternehmen, rechtzeitig die Themen anzugehen und frühzeitig zu planen. Mein Tipp an die Unternehmen und an die Zuhörerinnen und Zuhörer wäre, spätestens jetzt Teams zu schaffen und in den Teams an dem Stand der Technik zu arbeiten, sich ein Stück weit davon zu verabschieden, dass bestimmte Themen von Fachabteilung zu Fachabteilung in der Reihe geschoben werden. Bei IT-Projekten zum Beispiel von der beauftragenden Fachabteilung über den IT-Leiter, der Datenschutzbeauftragten und dann der Rechtsabteilung.

Davon sich ein Stück zu lösen, sondern den Ablauf dahin zu bringen, dass man im Team zusammen die Themen erarbeitet, die Lösungen erarbeitet, denn die Frage, ob man den Stand der Technik trifft, wie man ihn umzusetzen hat, was man dafür braucht, in welcher

Priorisierung, was man dann an Maßnahmen zu ergreifen hat, lässt sich nur interdisziplinär erarbeiten, zusammen mit der IT, dem IT-Sicherheitsbeauftragten, sofern vorhanden, dem Datenschutzbeauftragten der Fachabteilung, vielleicht auch jemand aus der Geschäftsführung, zumindest immer mal wieder und dem oder der IT-Rechtsanwältin oder dem IT-Rechtsanwalt. Das ist das, was funktioniert und wo viele Unternehmen, glaube ich, sich noch einen kleinen Schubs geben müssen. Okay, Carsten, Thomas, vielen, vielen Dank an dieser Stelle.

Es war mir eine Ehre. Wir haben, es ist zwar nicht sexy, aber wir haben heute, denke ich, viel gelernt. Ich habe viel gelernt und so fortlaufend, wie der Stand der Technik ist, vielleicht treffen wir uns in einem Jahr mal wieder und es sieht ganz anders aus.

Es gibt vielleicht neue Erkenntnisse und an dieser Stelle nochmals vielen, vielen Dank. Es war wirklich sehr aufklärend, auch für mich. Ich bin gespannt auf das Feedback.

Feedback wie immer gerne an info-at-teletrust.de. Wir sind da offen für Vorschläge oder die Resonanz und ja, wie gesagt, vielen Dank, dass ihr hier wart und ich bin gespannt auf alles, was noch kommt. Sehr gerne, vielen Dank. Sehr gerne.