Sicherheitsüberprüfung von Netzelementen durch das Bundesamt für Sicherheit in der Informationstechnik
der Abgeordneten Matthias Büttner, Dr. Dirk Spaniel, Wolfgang Wiehle, Leif-Erik Holm, Frank Magnitz, Andreas Mrosek und der Fraktion der AfD
Vorbemerkung
Einem starken Datenschutz muss nach Auffassung der Fragesteller in Zeiten der Digitalisierung und der damit einhergehenden einfacheren Verbreitung und Missbrauch von sensiblen Daten ein hoher Stellenwert eingeräumt werden. Die Fragesteller vertreten die Ansicht, dass bei sensibler Netzinfrastruktur sicherzustellen ist, dass die digitale Souveränität gewahrt bleibt. Nach Ansicht der Fragesteller gehört Telekommunikation (unter anderem Mobilfunk- und Glasfasernetze) zur kritischen Infrastruktur des Landes.
Die Systeme und Netzelemente von Huawei Technologies Co. Ltd. und ZTE Corp. wurden deshalb bei mehreren befreundeten Regierungen für den weiteren Ausbau in kritischen Infrastrukturen ausgeschlossen (www.faz.net/aktuell/wirtschaft/ diginomics/japan-verbietet-regierungsauftraege-fuer-huawei-und-zte-15929277.html).
Das Auswärtige Amt und der Bundesnachrichtendienst sind jedoch nach umfangreicher Prüfung des Sachverhaltes nun ebenfalls zu der Überzeugung gekommen, dass die Systeme und Netzelemente von Huawei Technologies Co. Ltd. und ZTE Corp. nicht in kritischen Infrastrukturen verbaut werden dürfen (www. handelsblatt.com/politik/deutschland/5g-ausbau-bnd-und-auswaertiges-amt- warnenvor-chinas-macht-ueber-huawei/23991388.html?ticket=ST-1023747-dXgmgKdP9 ZblgHgrRhbF-ap1).
Das Bundesamt für Sicherheit und Information (BSI) entgegen sieht immer noch keinen Anlass, die Systeme und Netzelemente von Huawei Technologies Co. Ltd. für den weiteren Ausbau auszuschließen, weil es diese für sicher hält. Für so gravierende Entscheidungen wie einen Bann bräuchte man Belege. In einem extra von Huawei Technologies Co. Ltd. eingerichtetem Labor könne das BSI die Sicherheit überprüfen. Das BSI hat mitgeteilt, dass bislang keine Unsicherheiten oder Bedrohungen festgestellt wurden (www.spiegel.de/netzwelt/ netzpolitik/5g-netzausbau-bsi-spricht-sich-gegen-huawei-boykott-aus-a-124370 8.html, www.computerbild.de/artikel/cb-News-Internet-5G-Ausbau-Deutschland- Huawei-Spionage-22952595.html).
Medienberichten zufolge verständigten sich hochrangige Regierungsvertreter jedoch darauf, die Sicherheitsanforderungen an die Netzinfrastruktur zu verschärfen. Diese sollen von der Bundesnetzagentur gemeinsam mit dem BSI zeitnah vorgelegt werden; unter anderem soll eine Verpflichtung zur Zertifizierung des verwendeten Equipments durch das BSI vorgesehen sein (www.zeit.de/ news/2019-02/14/eu-sicherheitskommissar-warnt-vor-chinesischer-it-dominanz- 190214-99-989604, www.teltarif.de/huawei-5g-spionageverdacht-bundesregierung/ news/75493.html).
Es besteht ein breiter Konsens unter den Experten, dass Huawei Technologie Co. Ltd. bei dem Entwicklungstand der 5G-Mobilfunksysteme dem Markt über ein Jahr voraus ist. So ist der ehemalige Präsident des Bundesnachrichtendienstes, Gerhard Schindler, der Ansicht „Wir sind also gar nicht in der Lage, zu beurteilen, was da eingebaut wird. Es sind daher Szenarien denkbar, dass im Krisenfall unser Netz abgeschaltet wird, worauf wir nicht vorbereitet sind.“ (www.n-tv.de/wirtschaft/ Frueherer-BND-Chef-warnt-vor-Huawei-article20855160.html).
Wir fragen die Bundesregierung:
Fragen11
Wie kann das BSI die Systeme und Netzelemente von Huawei Technologies Co. Ltd. prüfen, für sicher erklären und zertifizieren, wenn es in Deutschland kaum Entwickler und Experten gibt, die ebenfalls diesen Vorsprung in dieser Technologie – plus der erforderlichen Erfahrung hierzu, die Sicherheit zu prüfen – haben, um das beurteilen zu können?
Wie viele Entwickler und Experten, die den benötigten Anforderungen genügen, gibt es nach Kenntnis der Bundesregierung in Deutschland?
Wie war es möglich, innerhalb des BSI umfangreiches Personal mit so hoher Expertise, die nach Einschätzung der Fragesteller ja noch über dem von Huawei Technologies Co. Ltd liegen muss, in so kurzer Zeit aufzubauen?
a) Seit wann arbeitet dieses Personal mit dieser hohen Expertise für das BSI?
b) Wurde dieses Personal vom BSI ausgebildet, hat es sich die Expertise während der Tätigkeit für das BSI erarbeitet, oder wurde die Expertise „eingekauft“?
Da solche Experten nach Ansicht der Fragesteller in der Wirtschaft fehlen und hohe Einkommen erzielen, stellt sich die Frage, was die Prüfung eines einzigen Netzelementes von Huawei Technologies Co. Ltd kostet, bis alle Tests durchlaufen sind, und ein Netzelement von Huawei Technologies Co. Ltd als sicher erklärt werden kann?
a) Welche Personalkosten fallen hierbei an (bitte getrennt nach Besoldungsstufen und Planstellen auflisten)?
b) Welche weiteren Kosten, neben Personalkosten, fallen bei der Überprüfung eines einzigen Netzelementes an (bitte einzeln auflisten)?
c) Wer trägt diese Kosten?
Wer hat das BSI beauftragt, bei Bauteilen des asiatischen Herstellers Huawei Technologies Co. Ltd zu überprüfen, ob die Sicherheitsfreigabe dieser einzelnen Netzelemente für den Einsatz in deutscher kritischer Infrastruktur erteilt werden kann?
a) Handelt es sich um einen Regelauftrag, bei dem alle Komponenten aller Hersteller überprüft werden?
b) Wie oft werden Komponenten geprüft?
c) Wird nach einem Firmwareupdate erneut geprüft?
Wo finden die Überprüfungen der Netzelemente statt?
a) Wie viele Tests sind nach Kenntnis der Bundesregierung im Labor von Huawei durchgeführt worden (bitte einzeln nach Datum auflisten)?
b) Wie viele Tests sind nach Kenntnis der Bundesregierung an anderen Standorten durchgeführt worden (bitte einzeln nach Datum auflisten)?
Wie viele Mittel wurden in die Standorte aus Frage 6 investiert (bitte getrennt nach Einzelposten und Förderungen auflisten)?
Wie viele BSI-Mitarbeiter und wie viele Jahre des Testens wären nach Einschätzung der Bundesregierung notwendig, um ein 5G-Netzelement der Huawei Technologies Co. Ltd vollständig zu verstehen, damit ein „Kill Switch“, oder unfreundlicher Informationsabfluss ausgeschlossen werden kann? Wären diese BSI-Mitarbeiter nach Ansicht der Bundesregierung dann nicht auch in der Lage, selbst diese 5G-Netzelemente herzustellen, eine Entwicklung, die nach Einschätzung der Fragesteller in Asien hunderte Mannjahre Entwicklungszeit benötigt hat?
Prüft das BSI jetzt erst kurz vor dem Einsatz zum ersten Mal die Komponenten? Gibt es einen Prozess, um mit „Sicherheit by Design“ auch stufenweise Entwicklungsstadien nach dem Stand der Technik hierzu abnehmen zu können?
Welche Tests wurden an 2G-, 3G- und 4G-Komponenten vom BSI durchgeführt (bitte getrennt nach Datum auflisten)? Welche Erfahrungen aus diesen Prüfungen sind in die Überprüfungen der 5G-Komponenten geflossen?
Ist die Bundesregierung der Ansicht, dass durch die vom BSI durchgeführten Prüfungen eine ausreichend hohe Sicherheit gegeben ist, um die überprüften Komponenten in kritischer Infrastruktur einzusetzen?