GI fordert größere Unabhängigkeit bei öffentlicher IT

Berlin/Bonn, 6. Oktober 2020 – Eine im Jahr 2019 im Auftrag des Bundesinnenministeriums durchgeführte Studie kommt zu dem Schluss, dass bei der von der öffentlichen Hand betriebenen IT eine große und zum Teil sogar voll­ständige Abhängigkeit von einigen wenigen Herstellern besteht. In manchen Bereichen der Wirt­schaft gilt dies auch für sensible Umgebungen, die zur kritischen Infrastruktur gerechnet werden.

Daraus resultieren erhebliche Risiken, die bis zum vollständigen Ausfall der betreffenden IT führen können. In einer Zeit, in der politische Erpressung, Vertragsbruch und gezielte Attacken auf Firmen mit dem Ziel, diese vom Markt auszuschließen, von verschiedenen politischen Akteuren als normal betrachtet werden, besteht durchaus die Gefahr, dass einzelne Hersteller mit politischem Druck ge­zwungen werden, ihre Produkte aus bestimmten Ländern zurückzuziehen oder deren Lauffähigkeit dort zu beschränken. Es ist auch möglich, dass manche Produkte nicht mehr verwendet werden können, weil sich ihr Hersteller aus dem Markt zurückgezogen hat, die Pflege des Produkts aufge­geben hat oder dessen Funktionalität oder Lizenzierung so geändert hat, dass es für seinen bisheri­gen Zweck nicht mehr verwendet werden kann oder nicht mehr legaler Weise eingesetzt werden darf.

Ein derartiger Ausfall von IT-Komponenten eines Herstellers kann volkswirtschaftlich katastrophale Folgen haben, wenn keine Möglichkeit besteht, kurzfristig und mit tragbarem Aufwand auf ver­gleichbare Komponenten anderer Hersteller umzusteigen. Insbesondere für Systeme der öffentli­chen Hand und für Systeme im Bereich der Kritischen Infrastrukturen (KRITIS) stellt dieses Risiko eine inakzeptable Gefahr und damit ein Sicherheitsrisiko durch Verletzung der Verfügbarkeit dar. Aus diesem Grund gibt es auf der Ebene der Bundesregierung und der EU Anstrengungen, diese Abhän­gigkeiten durch eine Strategie der digitalen Souveränität zu reduzieren, doch zeigt die aktuelle Entwicklung gera­de auf dem Gebiet zentraler Software-Komponenten eher die Tendenz, die Abhän­gigkeit von einzel­nen Herstellern noch zu verstärken.

Die GI fordert deshalb:

• Ein besser koordiniertes Vorgehen, um solche Abhängigkeiten zu verringern. So ist es nicht akzeptabel, wenn bei öffentlichen Ausschreibungen schon die Nutzung der Software-Komponenten eines (Quasi-)Monopolisten vorgegeben wird.
• Die Verwendung pro­prietärer Datenformate, die gültige Standards wie ISO/IEC 26300 un­terlaufen, ist abzulehnen.
• Bei neu zu erstellenden IT-Systemen ist sicherzustellen, dass in kritischen Bereichen eine langfristige, uneingeschränkte und auch nicht durch einen Hersteller willkürlich zu beenden­de Nut­zung gewährleistet ist, was beispielsweise durch Verwendung von Open Source realisierbar ist.
• Al­ternativ ist sicherzustellen, dass bei Ausfall eines Herstellers eine schnelle und mit nur ge­ringem Aufwand durchzuführende Migration erfolgen kann.
• Für schon existierende Systeme im öffentlichen Bereich und in KRITIS-Umgebungen, die derzeit von einzelnen Herstellern abhängig sind, ist kurz- bis mittelfristig eine derartige Rückfallstrategie zu realisieren.

Die GI begrüßt ausdrücklich das Konzept für eine Kollaborative Freie-Software-Plattform für Ver­waltungen „Ein Ort für öffentlichen Code“ der Free Software Foundation Europe (FSFE), des Deutschen Landkreistages, der Kommunalen Gemeinschaftsstelle für Verwaltungsmanagement (KGSt), in der Software für die Öffentliche Hand abgelegt und zur Nutzung durch weitere Teilnehmer verfügbar gemacht wird. Durch Nutzung der dort ver­fügbaren Software lassen sich die beschriebenen Risiken sowie der unnötige Mehraufwand für die vielfache Erstellung funktional weitgehend gleicher Funktionalitäten deutlich reduzieren.

Über den Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI)

Sicherheits- und Datenschutzaspekte werden stark zunehmend von Gesellschaft, Unternehmen und auch der Politik adressiert. In der GI befassen sich eine Vielzahl von Fachbereichen (u.a. Sicherheit – Schutz und Zuverlässigkeit) mit diesen Themen, so dass das Präsidium den alle Fachbereiche übergreifenden Arbeitskreis Datenschutz und IT-Sicherheit mit der Bearbeitung beauftragt hat. Weitere Informationen finden Sie unter https://pak-datenschutz.gi.de/

Über die Gesellschaft für Informatik e.V.

Die Gesellschaft für Informatik e.V. (GI) ist mit rund 20.000 persönlichen und 250 korporativen Mitgliedern die größte und wichtigste Fachgesellschaft für Informatik im deutschsprachigen Raum und vertritt seit 1969 die Interessen der Informatikerinnen und Informatiker in Wissenschaft, Wirtschaft, öffentlicher Verwaltung, Gesellschaft und Politik. Mit 14 Fachbereichen, über 30 aktiven Regionalgruppen und unzähligen Fachgruppen ist die GI Plattform und Sprachrohr für alle Disziplinen in der Informatik. Die Mitglieder binden sich an die Ethischen Leitlinien für Informatikerinnen und Informatiker der GI. Weitere Informationen finden Sie unter www.gi.de.