BÜRGERSCHAFT DER FREIEN UND HANSESTADT HAMBURG Drucksache 21/10319 21. Wahlperiode 15.09.17 Schriftliche Kleine Anfrage der Abgeordneten Carl-Edgar Jarchow und Jennyfer Dutschke (FDP) vom 07.09.17 und Antwort des Senats Betr.: Cybersicherheit öffentlicher Institutionen Nirgendwo sonst auf der Welt ist der Schaden durch Verbrechen im Bereich Cyberkriminalität gemessen am Bruttoinlandsprodukt so hoch wie in Deutschland. Andere Länder rüsten bereits enorm auf, um ihre Unternehmen und Bürgerinnen und Bürger zu schützen. In Deutschland dagegen hinken Justiz und Polizei der Entwicklung noch hinterher. So finden regelmäßig Cyberangriffe gerade auf die Informationstechnik öffentlicher Institutionen statt. Daher prüft die Bundesregierung derzeit mehreren Medienberichten zufolge, ob und wie speziell im Hinblick auf Hackerangriffe eine offensive Reaktion (sogenannter Hack Back) erfolgen kann und welche Voraussetzungen hierfür zu schaffen wären. Ziel eines „Hack Back“ ist es, im Falle eines Angriffs jene Infrastruktur lahmzulegen oder zu zerstören, derer sich der Angreifer selbst bedient. In diesem Zusammenhang wird in Regierungskreisen von einem „digitalen finalen Rettungsschuss“ gesprochen. Rechtlich sollten die Polizeibehörden diese Befugnis haben, allerdings gehen einige Experten auch davon aus, dass die technische Ausführung durch die Bundeswehr erfolgen könnte. Vor diesem Hintergrund fragen wir den Senat: 1. Wie bewertet der Senat die derzeitige Gefahrenlage hinsichtlich gezielter Cyberangriffe auf Hamburger Dienststellen, landeseigene Unternehmen und Dataport sowie kritische Infrastrukturen? Sofern eine Einschätzung nicht möglich sein sollte, gibt es hierzu gutachterliche Prüfungen neutraler Stellen? Wenn ja, von wem und zu welchem Schluss kommen sie? Wenn nein, warum nicht? Gezielte Angriffe auf Hamburger Dienststellen, landeseigene Unternehmen, Dataport und kritische Infrastrukturen wurden bisher nur in geringem Umfang festgestellt. Der Senat nimmt die Gefahr durch Cyberkriminalität ernst und überprüft regelmäßig die vorhandenen Schutzmaßnahmen auf Aktualität und Wirksamkeit. Im Übrigens siehe Drs. 21/7184. 2. Inwieweit wird in Dienststellen und Unternehmen der Freien und Hansestadt Hamburg (FHH) sowie Dataport eine TLS- oder RMS-Verschlüsselung eingesetzt? Falls es keinen flächendeckenden Einsatz gibt, wieso wird darauf verzichtet und wie werden bestehende Schutzvorschriften stattdessen gewahrt? Drucksache 21/10319 Bürgerschaft der Freien und Hansestadt Hamburg – 21. Wahlperiode 2 In den Dienststellen und Unternehmen der Freien und Hansestadt Hamburg (FHH) erfolgt grundsätzlich eine TLS- oder RMS-Verschlüsselung. Im Übrigen: siehe Anlage 1. 3. Inwieweit funktioniert die Ende-zu-Ende-Verschlüsselung im Bereich Bürger-Verwaltung der FHH? Wie oft konnten verschlüsselte E-Mails von Bürgern im Zeitraum 2013 bis 2017 von der jeweils adressierten Dienststelle nicht bearbeitet werden? (Bitte jahresweise nach Dienststellen differenziert auflisten.) Eine Ende-zu-Ende-Verschlüsselung erfolgt in der Kommunikation der FHH mit den Bürgerinnen und Bürgern nicht. Bei Bedarf kann über das De-Mail-Verfahren verschlüsselt kommuniziert werden. Fälle von unbearbeiteten verschlüsselten E-Mails sind der zuständigen Behörde nicht bekannt. 4. Wie haben sich im Zeitraum 2013 bis 2017 jeweils die Fallzahlen zu den strafrechtlich relevanten Phänomenen Phishing, Skimming, Waren(kredit )betrug, Identitätsdiebstahl und Urheberrechtsverletzung entwickelt? Siehe Anlage 2. Phishing- oder Skimming-Delikte werden in der Polizeilichen Kriminalstatistik (PKS) nicht gesondert erfasst. Als in Betracht kommende Straftatenschlüssel der PKS für die Phänomene Phishing und Skimming sind in Anlage 2 die Beihilfe zum Nachmachen, Verfälschen, Verschaffen, Feilhalten oder Überlassen falscher Zahlungskarten mit Garantiefunktion (§ 152 b Strafgesetzbuch (StGB)) sowie das Ausspähen, Abfangen von Daten einschließlich Vorbereitungshandlungen und Datenhehlerei (§§ 202a, 202b, 202c, 202d StGB) aufgeführt. Unter diesem PKS-Schlüssel werden darüber hinaus auch weitere strafbare Formen des Ausspähens und Abfangens von Daten erfasst. Das Merkmal „Identitätsdiebstahl“ wird in der PKS nicht erfasst. Zur Beantwortung dieser Frage wäre eine händische Durchsicht mehrerer Hunderttausend Hand- und Ermittlungsakten des erfragten Zeitraums bei der Polizei erforderlich, was in der für die Beantwortung einer Parlamentarischen Anfrage zur Verfügung stehenden Zeit nicht möglich ist. 5. Wie gehen die Hamburger Polizei und Staatsanwaltschaft mit dieser Entwicklung im Bereich der Cyberkriminalität um? Welche organisatorischen , konzeptionellen und personellen Voraussetzungen wurden hierzu geschaffen? Die zuständige Behörde hat 2013 im Rahmen des Projekts Modernisierung des Landeskriminalamts das Fachkommissariat Cybercrime im Landeskriminalamt (LKA 54) neu strukturiert. Zur Optimierung der Zusammenarbeit von Polizei und Staatsanwaltschaft (StA) ist bei der StA im Bereich Cybercrime eine Spiegelabteilung zum LKA 54 mit zur Zeit 4,25 VZÄ geschaffen worden, die neben anderen Verfahren auch Computerstrafsachen bearbeitet. Hierbei handelt es sich um Straftaten, bei denen ein besonderes Maß an kommunikationstechnischer Beweisführung erforderlich ist oder das Internet als Tatmittel eingesetzt wurde und zu deren Bearbeitung besondere Kenntnisse der elektronischen Datenverarbeitung oder elektronischen Kommunikation erforderlich sind, insbesondere Verfahren gemäß der §§ 202a, 202b, 202c, 263a, 269, 270, 274 Absatz 1 Nummer 2, Absatz 2, 303a, 303b StGB. Konzeptionell verstärkt das LKA 54 den Bereich Wirtschaftsprävention und die Zusammenarbeit mit der Wirtschaft seit 2016 (siehe auch Drs. 21/7184). Darüber hinaus konnte eine beim LKA 54 vakante Stelle für Informatikerinnen und Informatiker im Jahr 2016 besetzt werden. 6. Inwiefern verfügen der Senat beziehungsweise die zuständigen Dienststellen über die – auch auf Bundesebene vorliegenden – Erkenntnisse hinsichtlich der Bedrohungslage und welche Sicherheits- beziehungsweise Abwehrkonzepte finden Anwendung? Das trägerländerübergreifende Computer Emergency Response Team (CERT Nord) sammelt Informationen aus verschiedenen Quellen. Unter anderem stellen Bund und Länder den zuständigen Dienststellen der FHH die entsprechenden Informationen zur Verfügung. Gegebenenfalls werden auf den Einzelfall bezogene individuelle Schutzmaßnahmen umgesetzt. Die Polizei erhält darüber hinaus regelmäßig einschlägige Informationen vom Bundeskriminalamt, dem Bundesamt für Sicherheit in der Informa- Bürgerschaft der Freien und Hansestadt Hamburg – 21. Wahlperiode Drucksache 21/10319 3 tionstechnik, der Allianz für Cybersicherheit European, dem Cybercrime Centre sowie weiteren Institutionen. 7. Wie bewerten der Senat beziehungsweise die zuständigen Dienststellen und Dataport das geplante Instrument des „Hack Back“ als Reaktion auf Hackerangriffe hinsichtlich Eignung, Angemessenheit und Wirksamkeit? Verfügt die FHH über die notwendige technische Infrastruktur sowie personelle Ausstattung, um derartige Verfahren anzuwenden? 8. Wie positioniert sich der Senat auf Bundesebene im Hinblick auf die oben angesprochene Diskussion bei der Durchführung eines „Hack Back“? Welche rechtlichen Schwierigkeiten werden von ihm beziehungsweise den zuständigen Dienststellen speziell hinsichtlich der Kompetenzverteilung zwischen Bund und Ländern gesehen? Die entsprechenden Maßnahmen hängen maßgeblich von den Fähigkeiten und dem technischen Hintergrund des Angreifers ab und müssen insofern in jedem Einzelfall geprüft werden. Im Übrigen hat sich der Senat hiermit nicht befasst. 9. Welche weiteren Instrumente erscheinen dem Senat beziehungsweise den zuständigen Dienststellen und Dataport aus aktueller Sicht zur Stärkung der IT-Sicherheit sinnvoll? Die Dienststellen der FHH und Dataport setzen auf die flächendeckende Umsetzung des IT-Grundschutzes und der sich daraus ergebenden Schutzmaßnahmen. Im Übrigens siehe Drs. 21/7184. 10. Wie werden die Beschäftigten der FHH und ihrer Unternehmen sowie Dataports hinsichtlich möglicher Cyber-Gefahren sensibilisiert? Welche Angebote zur Verbesserung der individuellen IT-Sicherheit gibt es derzeit für die Mitarbeiter von Dienststellen der FHH beziehungsweise landeseigenen Unternehmen und inwieweit werden diese Angebote in Anspruch genommen? Die Beschäftigten der FHH werden durch die IT-Bereiche, Informationssicherheitsbeauftragten oder Dataport auf aktuelle Cyber-Gefahren hingewiesen. Darüber hinaus entwickelt und erprobt die Abteilung für E-Government und IT-Steuerung in der Finanzbehörde zurzeit Maßnahmen zur Sensibilisierung der Mitarbeiterinnen und Mitarbeiter der FHH für Probleme der Cyberkriminalität, um diese den anderen Behörden und Organisationseinheiten empfehlen beziehungsweise anbieten zu können. Drucksache 21/10319 Bürgerschaft der Freien und Hansestadt Hamburg – 21. Wahlperiode 4 Anlage 1 Städtisches Unternehmen Begründung, wenn kein flächendeckender Einsatz Aussage zur Umsetzung der Schutzvorschriften fördern & wohnen AöR Auf allen Clients, die sich im Unternehmensnetzwerk befinden, ist ein PGP Client installiert. Mails mit personenbezogenem Inhalt sollen mittels PGP verschlüsselt werden. Die bestehenden Schutzvorschriften werden mit der PGP- Verschlüsselung umgesetzt. Hamburg Port Authority AöR (HPA) In der HPA wird die TSL- Verschlüsselung nicht flächendeckend verwendet. Eine Verschlüsselung wird je nach Schutzbedarf der Daten eingesetzt. Die Schutzvorschriften sind mit den beschriebenen Maßnahmen abgedeckt. Verkehrsbetriebe Hamburg-Holstein GmbH (VHH) In der VHH wird die TSL- Verschlüsselung nicht flächendeckend verwendet. Eine Verschlüsselung wird je nach Schutzbedarf der Daten eingesetzt. Die Schutzvorschriften sind mit den beschriebenen Maßnahmen abgedeckt. Bürgerschaft der Freien und Hansestadt Hamburg – 21. Wahlperiode Drucksache 21/10319 5 Anlage 2 Warenkreditbetrug (PKS 511200) Jahr erfasste Zu- Abnahme Aufklärung Fälle absolut in % Fälle in % 2013 4.931 - - 2.732 55,4% 2014 5.105 174 3,5% 3.107 60,9% 2015 6.438 1.333 26,1% 4.187 65,0% 2016 6.412 -26 -0,4% 3.962 61,8% 1. Halbjahr 2017 3.276 - - 1.635 49,9% Warenbetrug (PKS 511300) Jahr erfasste Zu-/ Abnahme Aufklärung Fälle absolut in % Fälle in % 2013 3.023 - - 2.263 74,9% 2014 1.760 -1.263 -41,8% 1.527 86,8% 2015 1.816 56 3,2% 1.557 85,7% 2016 2.119 303 16,7% 1.865 88,0% 1. Halbjahr 2017 859 - - 576 67,1% Straftaten gegen Urheberrechtsbestimmungen (PKS 715000) Jahr erfasste Zu-/ Abnahme Aufklärung Fälle absolut in % Fälle in % 2013 168 - - 111 66,1% 2014 170 2 1,2% 138 81,2% 2015 205 35 20,6% 158 77,1% 2016 198 -7 -3,4% 139 70,2% 1. Halbjahr 2017 82 - - 61 74,4% Ausspähen von Daten (PKS 678000) Jahr erfasste Zu-/ Abnahme Aufklärung Fälle absolut in % Fälle in % 2013 633 - - 55 8,7% 2014 207 -426 -67,3% 49 23,7% 2015 202 -5 -2,4% 41 20,3% 2016 279 77 38,1% 49 17,6% 1. Halbjahr 2017 195 - - 30 15,4% Nachmachen, Verfälschen, Verschaffen, Feilhalten oder Überlassen falscher Zahlungskarten mit Garantiefunktion (PKS 553220) Jahr erfasste Zu-/ Abnahme Aufklärung Fälle absolut in % Fälle in % 2013 5 - - 0 0,0% 2014 6 1 20,0% 1 16,7% 2015 11 5 83,3% 4 36,4% 2016 25 14 127,3% 2 8,0% 1. Halbjahr 2017 8 - - 1 12,5%