Verbreitung von Schadsoftware über Online-Werbung („Malvertising“)
der Abgeordneten Dr. Petra Sitte, Frank Tempel, Dr. André Hahn, Ulla Jelpke, Jan Korte, Martina Renner und der Fraktion DIE LINKE.
Vorbemerkung
Mit der zunehmenden Bedeutung von Onlinemedien hat der Markt für Onlinewerbung immer mehr an Bedeutung gewonnen. Charakteristisch für diesen Markt, im Gegensatz zu klassischen Märkten im Print- oder Rundfunkbereich, ist die zentrale Rolle von Agenturen, die zwischen den Werbenden und den Webangeboten, auf denen Werbung geschaltet wird, vermitteln und dafür eigene Infrastruktur einsetzen. Infolgedessen ist es im Regelfall für diejenigen, die eine Webseite betreiben, nicht mehr im Einzelnen nachvollziehbar oder steuerbar, wer dort Werbung betreibt.
Dieser Umstand wird bereits seit einiger Zeit zur Verbreitung von Schadsoftware („Malware“) ausgenutzt. Diese Methode wird auch als „Malvertising“ bezeichnet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt das Problem in einer Pressemitteilung vom 29. März 2017 im Zusammenhang mit einem Angriff auf den Deutschen Bundestag wie folgt:
„Häufig wird derartige Schadsoftware verwendet, um Daten auszuspionieren oder Schaden auf dem Zielrechner zu verursachen. Eine der Hauptursachen für diese sogenannten Drive-by-Angriffe sind schädliche Werbebanner. Diese werden von unbekannten Dritten bereitgestellt oder von Agenturen vermarktet und werden häufig ohne Überprüfung oder Qualitätskontrolle in eine Webseite eingebunden. Auf diese Weise werden auch populäre und ansonsten gut abgesicherte Webseiten Ausgangspunkt von Cyber-Angriffen.“
Nach übereinstimmenden Berichten ist in den letzten Jahren eine quantitative Zunahme dieses Phänomens zu beobachten. Die Bundesregierung hat im Oktober 2016 erklärt, keine konkreten Erkenntnisse über das Ausmaß des Problems zu haben (Bundestagsdrucksache 18/10115, Antwort zu Frage 17), allerdings stellt das BSI in seinem Bericht zur Lage der IT-Sicherheit in Deutschland 2016 fest, dass Quelle von Links auf Schadprogramme „immer öfter Werbebanner“ sind (S. 18). Der weltweit durch Malvertising verursachte Schaden soll sich Schätzungen zufolge zudem auf ca. 1 Mrd. US-Dollar pro Jahr summieren (www.darkreading.com/endpoint/june-was-worst-month-of-malvertising-ever/ d/d-id/1321717, Dezember 2015).
Eine zuverlässige Methode zum Schutz vor Malvertising ist die Verwendung sogenannter Ad-Blocker, also Software, die die Anzeige von über Drittserver auf Webseiten eingebundener Werbung im Browser unterbindet. Allerdings prüft die Bundesregierung gemeinsam mit den Ländern derzeit ein gesetzliches Verbot genau dieser Art von Software (vgl. Bundestagsdrucksache 18/10115). Eine abschließende Beurteilung der Bedeutung von Ad-Blockern beim Schutz vor Schadsoftware ist der Bundesregierung nach eigener Aussage nicht möglich (Bundestagsdrucksache 18/10115, Antwort zu Frage 17).
Wir fragen die Bundesregierung:
Fragen15
Welche Erkenntnisse hat die Bundesregierung über das Ausmaß an Malvertising, den dadurch in Deutschland entstehenden Schaden und dessen zeitlicher Entwicklung?
a) Welche Erkenntnisse hat die Bundesregierung insgesamt über den durch Schadsoftware entstehenden Schaden?
b) Welche Erkenntnisse hat die Bundesregierung über den Anteil, den Malvertising als Ausliefermethode für Schadsoftware ausmacht, und dessen zeitlicher Entwicklung?
c) Welche Erkenntnisse hat die Bundesregierung über das Ausmaß an Malvertising im Mobilbereich und dessen Entwicklung?
d) Sieht die Bundesregierung die Notwendigkeit, sich mehr Informationen über das Ausmaß des Problems anzueignen, und wenn ja, welche Schritte wird sie dafür unternehmen?
Welche Erkenntnisse hat die Bundesregierung über durch Malvertising entstandenen Schaden im Bereich der öffentlichen Verwaltung, und welche Vorfälle sind ihr dort bekannt?
Welche Erkenntnisse hat die Bundesregierung darüber, dass es sich bei dem Angriff auf die IT des Deutschen Bundestages Anfang des Jahres 2017, bei dem über eine Nachrichtenseite auf eine schädliche Drittseite verlinkt wurde (siehe Pressemitteilung des BSI vom 29. März 2017), um einen Fall von Malvertising handelt?
Welche Empfehlungen gibt das BSI zum Schutz vor Malvertising heraus?
In welcher Form und mit welchem Ergebnis ist der BSI-Expertenkreis Cyber-Sicherheit mit dem Thema Malvertising befasst?
Existieren weitere Aktivitäten oder Untersuchungen seitens des BSI, die Malvertising bzw. Schutzmaßnahmen dagegen zum Gegenstand haben, und wenn ja, welche?
Welche Empfehlungen gibt das BSI zum Einsatz von Ad-Blockern aus und hat es in der Vergangenheit herausgegeben?
Welche Maßnahmen werden im Bereich der öffentlichen Verwaltung zum Schutz vor Malvertising getroffen?
Existieren über die Antworten zu den Fragen 4 bis 8 hinaus gegenwärtige oder geplante Maßnahmen der Bundesregierung, die den Schutz vor Malvertising zum Gegenstand haben, und wenn ja, welche?
Welche Anhaltspunkte hat die Bundesregierung dafür, davon auszugehen, „dass die Werbewirtschaft und die Anbieter von mit Werbung finanzierten Online-Inhalten darauf achten, dass die Nutzer durch die Übermittlung von Werbung nicht geschädigt werden“ (Bundestagsdrucksache 18/10115, Antwort zu Frage 17)?
Welche konkreten gegenwärtigen oder geplanten Maßnahmen seitens der Werbewirtschaft oder von Anbietern werbefinanzierter Online-Inhalte zum Schutz vor Malvertising sind der Bundesregierung bekannt, und wie schätzt sie deren Wirksamkeit ein?
Sind der Bundesregierung Standards, Handlungsempfehlungen oder Selbstverpflichtungen für die Werbewirtschaft und/oder Anbieter werbefinanzierter Online-Inhalte zum Schutz vor Malvertising bekannt, und wenn ja, wie beurteilt sie diese?
Sieht die Bundesregierung politischen Handlungsbedarf zur Eindämmung von Malvertising, und wenn ja, in welcher Form?
Ist der Bundesregierung nach wie vor keine abschließende Beurteilung der Bedeutung von Ad-Blockern beim Schutz vor Schadsoftware möglich (Bundestagsdrucksache 18/10115, Antwort zu Frage 17)?
a) Strebt die Bundesregierung an, zu einer solchen Beurteilung zu gelangen?
b) Teilt die Bundesregierung die Auffassung, dass eine solche Beurteilung zwangsläufige Voraussetzung einer gesetzlichen Regulierung von Ad-Blockern wäre?
c) Inwieweit ist das BSI in die laufenden Prüfungen über ein Verbot von Ad-Blockern einbezogen?
Welche Haftungsregelungen gelten für durch Malvertising verursachte Schäden?
a) Unter welchen Voraussetzungen müsste ein Seitenbetreiber oder eine Agentur dafür haften, dass über ihre Dienste Malvertising ausgeliefert wurde?
b) Sind der Bundesregierung Fälle bekannt, in denen ein Haftungsanspruch erhoben oder erfolgreich durchgesetzt wurde?
c) Welche Hindernisse sieht die Bundesregierung für die Durchsetzung derartiger Ansprüche?
d) Sieht die Bundesregierung in dieser Frage Regelungsbedarf, und wenn ja, welchen?