IT-Sicherheitskennzeichen: BSI startet Kampagne
von caschy | 4 Kommentare
Was macht eigentlich das IT-Sicherheitskennzeichen? Mit dem IT-Sicherheitsgesetz 2.0 hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits 2021 den Auftrag erhalten, ein freiwilliges IT-Sicherheitskennzeichen einzuführen. Damit sollen Verbraucher die Möglichkeit erhalten, sich über vom Hersteller zugesicherte Sicherheitsfunktionen von vernetzten, internetfähigen Produkten und Diensten zu informieren.
Das Kennzeichen kann beispielsweise auf der Verpackung eines Routers zu finden sein – das Etikett des IT-Sicherheitskennzeichens enthält einen Link und einen QR-Code, den Nutzer scannen können. Darüber gelangen sie auf eine Webseite des BSI mit aktuellen Sicherheitsinformationen zum Produkt.
Aus meiner eigenen Wahrnehmung heraus ist das Ganze noch nicht wirklich angekommen, und die, die es kennen, kritisieren es oft. Nun nimmt das BSI noch einmal Geld in die Hand. Man hat eine Kampagne gestartet, um Verbraucher auf das IT-Sicherheitskennzeichen und den Nutzen des Produkts aufmerksam zu machen. Ob es hilft?
Das IT-Sicherheitskennzeichen kann…
… wichtige Fakten zu Sicherheitseigenschaften eines vernetzten Produkts verständlich zusammenfassen.
… aufzeigen, dass sich der Hersteller eines Produkts freiwillig dazu verpflichtet hat, die Anforderungen des BSI einzuhalten.
… fördern, dass mehr Hersteller das Sicherheitsniveau ihrer Produkte anheben, weil sie das Kennzeichen verwenden wollen.
… Vertrauen in Geräte, Dienste und auch Hersteller schaffen.
… Kundinnen und Kunden bei der Kaufentscheidung für ein IT-Produkt helfen.
Das IT-Sicherheitskennzeichen kann nicht…
… garantieren, dass ein IT-Produkt absolut sicher ist.
… garantieren, dass die Hersteller die aufgeführten Standards jederzeit und nach Ablauf der Gültigkeit des Kennzeichens erfüllen.
… als Prüfsiegel verstanden werden. Das BSI prüft das IT-Produkt nicht, sondern legt die Kriterien fest, denen sich die Hersteller verpflichten.
… garantieren, dass darüber hinaus Sicherheitslücken im Produkt bekannt werden oder ausschließen, dass Kriminelle Wege finden, die Sicherheitsmerkmale eines Produkts zu überwinden. Sobald das BSI davon Kenntnis erhält, informiert es über die Schwachstelle.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Sorry, aber die „kann“-Punkten 3-5 werden durch die nichts garantierenden „kann nicht“-Punkte, komplett ausgehebelt. Also, verpflichten sich die Hersteller zu nichts was garantiert werden kann, oder anders gesagt: es zeigt, dass alles könnte, aber nichts garantiert werden kann. Wischiwaschi par excellence!..
IT-„Sicherheit“ von der Sorte: Patchday, Virenscanner, ”Zertifizierung durch TÜV“, Schaden ist versichert und mindstns zwölfendrölftsig mittelhochdeutscher Sonderzeichen im Passwort.
Was ich unter „IT-Sicherheit“ verstehe: Herstellerhaftung. Updatepflicht. Supportpflicht. Proaktives Testing durch den Staat (Autos werden ja auch mal rausgewunken und Fahrer müssen „pusten“). Sicherheit per Design und Implementation statt Sicherheit nach BWLer-Kosten-Sachaden-Abwägung. Konsequenzen. Konsequenzen. Konsequenzen.
Super! Wieder so eine vollkommen überflüssige Kennzeichnung. Wenn eine Bundesbehörde erst mal Geld in die Hand nehmen muss, um die Verbraucher auf die von ihr vergebene Kennzeichnung hinzuweisen, dann ist das Verschwendung von Steuergeld. Man braucht sich auf der verlinkten Kampagneseite nur den Abschnitt „Wo liegen die Grenzen der Kennzeichnung?“ anzuschauen, um zu erkennen, wie sinnlos diese Kennzeichnung ist. Darüber sollte sich die Opposition und der FDP-Fraktionsvorsitzende Dürr aufregen, anstatt den Sozialstaat beschneiden zu wollen oder Zwangsarbeit für Bürgergeldbezieher einzufordern.
Also so wie eine freiwillige CE-Kennzeichnung. Nunja, besser als nichts, vor allem weil eine Art Zertifizierung richtig teuer würde