Gesetze und Vorschriften zur Cybersicherheit in Deutschland

Während es in Deutschland kein einheitliches Gesetz für Cybersicherheit und Datenschutz gibt, wird die Cybersicherheitslandschaft durch eine Kombination aus bundesstaatlichen und europäischen Gesetzen und Verordnungen zusammengehalten. Wie in jedem europäischen Land wird auch in Deutschland der strengen EU-DSGVO der Datenschutz unterworfen und durchgesetzt.

Deutschlands jüngster Versuch, die Cybersicherheitsgesetze und -vorschriften zu erneuern, ist die Verabschiedung des deutschen IT-Sicherheitsgesetzes 2.0, das darauf abzielt, die Sicherheit von IT-Systemen zu erhöhen und andere Cybersicherheitsgesetze zu harmonisieren, um die ständig wachsende digitale Bedrohungslandschaft und Cybersicherheitsherausforderungen wie wachsende Ransomware-Angriffe zu bekämpfen.

Das Geflecht aus kombinierten Cybersicherheitsgesetzen und -vorschriften kann für Unternehmen und Organisationen jedoch schwierig zu erfüllen sein. Darüber hinaus drohen Unternehmen durch die schwindelerregend hohen Strafen bei Nichteinhaltung Geldstrafen von bis zu 20 Millionen Euro oder 4 % ihres weltweiten Jahresumsatzes. Bisher die bisher höchste Cybersicherheitsstrafe, die Deutschland jemals gegen das schwedische Unternehmen H&M verhängt hat, sind 35 Millionen Euro für die unrechtmäßige Verarbeitung sensibler Mitarbeiterdaten entstanden.

Deutsche und europäische Unternehmen, die mit deutschen Unternehmen und Organisationen zu tun haben, müssen die Vorschriften einhalten, die die Daten ihrer Bürger schützen und Organisationen für ihre Sicherheitslage zur Rechenschaft ziehen, insbesondere im Finanz- und Gesundheitssektor.

Dieser Artikel behandelt die wichtigsten Cybersicherheitsgesetze und -vorschriften in Deutschland und dient als umfassender Leitfaden für alle Unternehmen und Organisationen zu den deutschen Cybersicherheitsgesetzen und -vorschriften, Gebühren und Strafen sowie deren Anforderungen an die Compliance.

Hier erfahren Sie, wie UpGuard Unternehmen und ihren Anbietern hilft, Compliance-> zu erreichen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI)

Das 1991 gegründete Bundesamt für Sicherheit in der Informationstechnik (BSI) ist das Bundesamt für Cybersicherheit und die Bundesbehörde, die für die Überwachung der IT-Sicherheit im Land zuständig ist.

Als Vorgänger des BND ist das BSI die kryptographische Abteilung des Auslandsnachrichtendienstes, die für die Entwicklung kryptografischer Algorithmen bekannt ist. Es wird für die Initiierung der Gpg4win-Kryptografie-Suite verantwortlich gemacht. Einfach ausgedrückt: Was NIST für die USA ist, ist das BSI für Deutschland.

Das BSI dient auch als Quelle für Leitfäden und Empfehlungen zur technischen Unterstützung kryptographischer Verfahren für Unternehmen in der IT. Es kann auch Informationen für Unternehmen liefern, um sie bei der Reaktion auf Vorfälle besser koordinieren zu können.

Das BSI-Gesetz (BSIG)

Das BSI-Gesetz (Bundesgesetz über die Sicherheit in der Informationstechnik) des Bundesamtes für Sicherheit in der Informationstechnik (BSI-Gesetz) des Bundesamtes für Sicherheit in der Informationstechnik (BSI-Gesetz) BSI-Gesetz (BSIG) ist die erste Rechtsgrundlage des BSI, die seit 2009 in Kraft getreten ist und auch heute noch als Grundlage für andere deutsche Cybersicherheitsgesetze dient.

Das BSI deckt die präventive Cybersicherheit für das deutsche Computer- und Kommunikationsrecht, kritische Infrastrukturen wie Energie, Gesundheitswesen, Lebensmittel, IT und Telekommunikation sowie Finanzen ab. Zu den weiteren Verpflichtungen gehören Spionage, Spionageabwehr und Zertifizierung von Sicherheitsprodukten.

Nach dem BSI-Gesetz bestehen die Hauptaufgaben des BSI darin,

Agieren Sie als wichtige Instanz für alle einheitlichen IT-Sicherheitsstandards in Deutschland;
Als wichtigstes Beratungsgremium für die Regierung und andere Organisationen in Bezug auf die IT-Sicherheit dienen;
Schutz der föderalen Netze Deutschlands und Umsetzung präventiver Cybersicherheit;
Durchsetzung der Cybersicherheit, Erkennung und Cyberabwehr gegen Cyberangriffe und Malware;
als IT-Sicherheitsmeldestelle für alle Betreiber kritischer Infrastrukturen dienen;

Agieren Sie als wichtige Einheit für die Entwicklung der Kryptographie;

Zertifizierung, Prüfung und Akkreditierung potenzieller IT-Produkte zur Bekämpfung fehlerhafter Sicherheitsprodukte;

Informieren Sie die Öffentlichkeit und schärfen Sie das Bewusstsein für Cybersicherheit.

Zum Juli 2015 wurde das BSI-Gesetz mit dem Gesetz zur Erhöhung der Sicherheit von IT-Systemen (IT-Sicherheitsgesetz 1.0) durch wesentliche Änderungen ergänzt. Nach den Standards des IT-Grundschutzhandbuchs fungiert das BSI als zentrale Prüf- und Zertifizierungsstelle für IT-Systemsicherheit in Deutschland und deckt die Computer- und Datensicherheit ab.

IT-Sicherheitsgesetz 2.0

Im April 2021 wurde das neueste deutsche Cybersicherheitsgesetz, das deutsche IT-Sicherheitsgesetz 2.0, verabschiedet, um die Sicherheit von IT-Systemen zu erhöhen. Das neue Gesetz hat mehrere Cybersicherheitsgesetze wie das BSIG geändert und dient der Bekämpfung von Cybersicherheitsbedrohungen und unterstreicht die Bedeutung des Schutzes der IT- und Kommunikationstechnologie in Deutschland.

Was ist der Zweck des IT-Sicherheitsgesetzes 2.0?

Das neue Gesetz stärkt das BSI vor allem mit neuen umfangreichen Rechten, Befugnissen und Verantwortlichkeiten zur Absicherung von IT-Sicherheitsrisiken auf bundesstaatlicher Ebene, zur Bekämpfung von IT-Defiziten und zur Erhöhung der IT-Sicherheit.

Der neue Rechtsakt zielt darauf ab,

Harmonisierung der meisten deutschen Cybersicherheits- und Datenschutzgesetze;

Erhöhung der Sicherheit von IT-Systemen;
Verbessern Sie den Verbraucherschutz.

Wie wirkt sich das IT-Sicherheitsgesetz 2.0 auf das BSI aus?

Nach dem geänderten BSI-Gesetz hat das BSI nun die Befugnis:

Durchführung von Sicherheitsrisikobeurteilungen, -überwachungen und -prüfungen gegenüber der Bundesverwaltung;
Stärker in alle Digitalisierungsprojekte des Bundes eingebunden werden;
Genehmigung sektorspezifischer Sicherheitsstandards;

Sammeln, Bewerten, Verarbeiten und Bewerten von Schwachstelleninformationen und Protokolldaten zur Verbesserung der IT-Sicherheit und Cybersicherheitsmaßnahmen;
Definition von Sicherheitsstandards für die Bundesverwaltung;
Nutzen Sie Port-Scans von Bundeseinrichtungen und Honeypots zur Simulation von Cyberangriffen, um die Sicherheitsstärke von IT-Systemen zu bewerten.

Nach 2022 werden weitere Gesetzesaktualisierungen folgen. Das BSI soll als zentrale Behörde für Cybersicherheit in Deutschland fungieren. In Zukunft wird das BSI auch als große Info-Drehscheibe fungieren, die Einzelpersonen, Unternehmen und Organisationen mit Best Practices und Sicherheitsempfehlungen gegen IT-Bedrohungen versorgt.

Die BSIG/BSI-KritisV und Betreiber kritischer Infrastrukturen

Mit dem neuen IT-Sicherheitsgesetz 2.0 wollen der Deutsche Bundestag und der Bundesrat "zwei Fliegen mit einer Klappe schlagen" und die Informationssicherheit und Digitalisierung mit Änderungen der BSIG/BSI-KritisV (Verordnung über die Ausweisung kritischer Infrastrukturen nach dem Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) reformieren.

Früher befasste sich das erste BSI-Gesetz nur mit kritischen Infrastrukturen. Seit April 2016 konzentriert sich die neue Verordnung mit einem erweiterten Spektrum an Verpflichtungen sowohl auf kritische Infrastrukturen als auch auf Anbieter digitaler Dienste.

Für wen gilt die BSIG/BSI-KritisV?

Die BSIG und die BSI-KritisV legen Sicherheitspflichten fest für:

Sektoren kritischer Infrastrukturen;
Anbieter digitaler Dienste wie Online-Märkte, Suchmaschinen und Cloud-Dienste;
Bundesbehörden.

Das IT-Sicherheitsgesetz 2.0 wird die IT-Sicherheit regeln und deren Anforderungen an "Betreiber kritischer Infrastrukturen" durchsetzen. ”

Zu den in der Verordnung zur Identifizierung kritischer Infrastrukturen (KritisVO) genannten Sektoren und Dienstleistungen der Kritischen Infrastrukturen gehören Energie, Wasser, Lebensmittel, Informationstechnologie und Telekommunikation, Gesundheitswesen, Finanzen und Versicherungen, Verkehr sowie Siedlungsabfallentsorgung, auch KRITIS-Unternehmen genannt.

Anforderungen der BSIG/BSI-KritisV

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet alle Unternehmen, Organisationen von besonderem öffentlichem Interesse (Special Interest Companies) und Einrichtungen, die mit kritischen Infrastrukturen zu tun haben:

Durchführung von Sicherheitsaudits alle zwei Jahre;
Melden Sie alle Cybersicherheitsvorfälle und erheblichen Störungen den zuständigen Behörden (BSI) - eine obligatorische Meldepflicht im Falle eines signifikanten Cybervorfalls;
Benennen Sie eine Anlaufstelle für das BSI, um eine ständige Erreichbarkeit zu gewährleisten;
Betreiber kritischer Infrastrukturen dazu zwingen, Intrusion-Detection-Systeme gegen Cyberangriffe zu implementieren;
Umsetzung der Mindestanforderungen an angemessene, dem Stand der Technik entsprechende organisatorische und technische Maßnahmen zur Bekämpfung von IT-System- und Informationssystemstörungen. Dass die umgesetzten Maßnahmen die Mindestanforderungen erfüllen, müssen die Betreiber alle zwei Jahre in einem Sicherheitsaudit nachweisen.

Zudem müssen alle Bundesbehörden Cybersicherheitsvorfälle dem Bundesamt für Sicherheit in der Informationstechnik melden, wenn sie einen Cybersicherheitsvorfall feststellen.

Das BSI ist verpflichtet, Mindeststandards zur Stärkung der IT-Sicherheit der Bundesverwaltung zu entwickeln. Das Bundesministerium des Innern kann diese Mindeststandards für alle Behörden als verbindlich erklären, da nur eine Konsultation (und keine Vereinbarung) mit dem IT-Rat erforderlich ist.

Ist die Einhaltung der BSIG/BSI-KritisV verpflichtend?

Ja. Die Einhaltung der BSIG/BSI-KritisV ist verpflichtend für alle Einrichtungen, Unternehmen und Organisationen, die sich mit kritischen Strukturen und Organisationen von besonderem Interesse beschäftigen. Früher bot die Verordnung allen betroffenen Unternehmen eine Übergangsfrist zwischen der Erfüllung der Anforderungen an.

Ab 2021 müssen Unternehmen mit dem neuen IT-Sicherheitsgesetz 2.0 und der Zweiten KRITIS-Verordnung die Anforderungen am ersten Tag erfüllen, sobald sie nach der Verordnung als förderfähig gelten.

Nach § 8a BSI-Gesetz müssen alle Betreiber kritischer Infrastrukturen dem BSI häufig nachweisen, dass sie Sicherheitsmaßnahmen korrekt umgesetzt haben, am besten alle zwei Jahre. Im Einvernehmen mit den Aufsichtsbehörden kann das BSI Sanktionen gegen das Unternehmen verhängen, wenn es die Anforderungen nicht erfüllt.

Welche Strafen drohen bei Nichteinhaltung der BSIG/BSI-KritisV?

Unternehmen und Organisationen, die die Anforderungen der BSIG/BSI-KritisV nicht erfüllen, drohen vom BSI Bußgelder in Höhe von bis zu 20 Millionen Euro.

Alle Unternehmen müssen prüfen, ob sie in den Anwendungsbereich der BSIG/BSI-KritisV und des IT-Sicherheitsgesetzes 2.0 fallen oder nicht. Es wird allen Organisationen empfohlen, sich rechtlich beraten zu lassen, um zu verstehen, ob sie berechtigt sind, die Vorschriften einzuhalten.

Bundesdatenschutzgesetz (BDSG)

Das deutsche Bundesdatenschutzgesetz (BDSG) passt die deutschen Gesetze an die DSGVO (Datenschutz-Grundverordnung) der Europäischen Union an, um die Datenschutzbestimmungen zu überwachen.

Seit dem 30. Juni 2017 regelt das BDSG zusammen mit den Bundesdatenschutzgesetzen der Bundesländer durch die Behörden der Bundesländer (LDSG) alle Datenverarbeitungsvorgänge und die deutschen Datenschutzgesetze für die Verarbeitung personenbezogener Daten.

Während sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf die Überwachung der Einhaltung des IT-Sicherheitsrechts konzentriert, ist das BDSG für die Überwachung der Einhaltung der Datenschutzgesetze der 16 Landesdatenschutzbehörden zuständig.

Wie arbeitet das BDSG mit der DSGVO?

Das BDSG ergänzt die DSGVO (Datenschutz-Grundverordnung), die von der EU für Finanzdienstleistungen vorgeschrieben ist, die personenbezogene Daten von EU-Bürgern verarbeiten oder erheben.

Die DSGVO legt Anforderungen und Pflichten an die Cybersicherheit in Bezug auf Datenschutz, Cybersicherheit und Sicherheitsverletzungsmanagement fest. Die DSGVO gilt für alle Institutionen und Organisationen, die mit personenbezogenen Daten umgehen und innerhalb der EU tätig sind, sowie für Unternehmen, die Geschäfte mit Ländern in der EU tätigen.

Die DSGVO ermutigt Verantwortliche und Auftragsverarbeiter, die einschlägigen Protokolle zu befolgen, Datenschutzmaßnahmen zu ergreifen und sicherzustellen, dass Daten mit Einwilligung erhoben werden. Nach der DSGVO verlangen die deutschen Behörden beispielsweise, dass alle Unternehmen zunächst die ausdrückliche Zustimmung der betroffenen Person einholen, um Tracking-Mechanismen und Werbetechnologien wie Cookies zu akzeptieren.

Marketing-E-Mails

Das UWG (Gesetz gegen den unlauteren Wettbewerb; Gesetz gegen den unlauteren Wettbewerb) fällt unter die BDSG-Gesetze und verpflichtet Unternehmen, Marketing-E-Mails nicht ohne Zustimmung an Empfänger zu versenden. Ausnahmen gelten, wenn:

Das Unternehmen nutzte die E-Mail für Direktwerbung;
Der Empfänger hat noch keinen Einspruch erhoben.
Der Empfänger wurde informiert, als die Adresse für diese Verwendung erhoben wurde.

Datenschutzbeauftragter

Gemäß der DSGVO muss ein DSB (Datenschutzbeauftragter) eingesetzt werden, der die regelmäßige Prüfung, Bewertung und Bewertung der Wirksamkeit der Datenverarbeitung eines Unternehmens überwacht. Der DSB dient auch dazu, die Einhaltung der DSGVO sicherzustellen.

Zusätzlich zu Artikel 37 DSGVO muss ein Datenschutzbeauftragter vom für die Verarbeitung Verantwortlichen benannt werden, wenn die Organisation:

personenbezogene Daten gewerbsmäßig verarbeiten,
Beschäftigt mindestens 20 Personen, die sich mit der Verarbeitung personenbezogener Daten befassen;
Sie unterliegt einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

Für wen gilt das BDSG?

Das BDSG gilt für alle Behörden des Bundes, der Bundesländer und der privaten Stellen, die personenbezogene Daten und sonstige Daten wie Betriebsgeheimnisse verarbeiten, erheben, nutzen und speichern.

Nach deutschem Recht sind "personenbezogene Daten" alle Daten und Informationen, die "Einblicke und Tatsachen über eine identifizierbare, natürliche Person bieten. Dazu gehören Namen, Adressen, Berufe, IP-Adressen, Sozialversicherungsnummern, Finanzdaten wie Steuern und persönlich identifizierbare Informationen wie Rasse oder ethnische Herkunft.

Zu den vom BDSG geregelten Daten gehören auch Geschäftsgeheimnisse, die als "Daten, die angemessenen Geheimhaltungsmaßnahmen der Cybersicherheit unterliegen" gelten. "Alle Unternehmen mit Geschäftsgeheimnissen sind verpflichtet, ihre Geschäftsgeheimnisse durch geeignete Geheimhaltungsmaßnahmen zu schützen und sicherzustellen, dass ihre Geschäftsgeheimnisse den gesetzlichen Bestimmungen des GeschGehG entsprechen.

Ist die Einhaltung des BDSG und der DSGVO verpflichtend?

Das BDSG und die DSGVO sind verpflichtend und gelten für alle privaten Unternehmen, öffentlichen Einrichtungen des Bundes und Datenverantwortliche, die sensible Daten und personenbezogene Informationen verarbeiten.

Jedes Unternehmen, das nicht in der EU ansässig ist, aber personenbezogene Daten eines EU-Bürgers (z. B. Cookies zur Überwachung des Verbraucherverhaltens) verwendet, unterliegt der DSGVO und dem BDSG.

Welche Strafen drohen bei Nichteinhaltung von BDSG und DSGVO?

Das BDSG fordert strafrechtliche Sanktionen für Unternehmen oder Einzelpersonen, die gegen die DSGVO verstoßen (§ 42 BDSG). Zu den Verstößen gehört der Diebstahl von öffentlich nicht zugänglichen personenbezogenen Daten, die für betrügerische Zwecke erworben oder unbefugt verarbeitet wurden.

Für Verwaltungssanktionen bei Nichteinhaltung verhängt das BDSG Bußgelder bis zu 50.000 Euro gegen alle Nichteinhaltungen wegen Verstößen gegen ihre Gesetze, einschließlich aller Unternehmen, die nicht ordnungsgemäß mit Daten umgehen (§ 43 BDSG). Darüber hinaus können auch andere Bußgelder im Rahmen der DSGVO verhängt werden.

Da sich das BDSG an der DSGVO orientiert, kann es sein, dass sie den Katalog der Strafen und Bußgelder überarbeiten und die Strafen je nach Schwere der Nichteinhaltung modifizieren.

Je nach Verstoß können die DSGVO-Bußgelder 20 Millionen Euro (ca. 23 Millionen USD) oder 4 % des Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr (je nachdem, welcher Betrag höher ist) erreichen. Es sind 10 Millionen Euro für geringfügige Fälle oder bis zu 2 %.

Es ist wichtig zu beachten, dass es unmöglich ist, ein Bußgeld gegen Unternehmen und Betriebe zu verhängen, die sich nicht an § 9 BDSG halten. Dabei handelt es sich um Unternehmen, die als Auftragsverarbeiter tätig werden und "als Unternehmen des öffentlichen Rechts am Wettbewerb teilnehmen. ”

Lesen Sie hier, um mehr über die Strafen und Bußgelder des BDSG >

NIS2-Richtlinie

Die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie) ist eine wichtige nicht sektorspezifische Rechtsvorschrift für Finanzdienstleistungen, die die Zusammenarbeit zwischen den EU-Mitgliedstaaten im Bereich der Cybersicherheit verbessert.

Ergänzt wird es durch die BSIG und die BSI-KritisV. Der deutsche Gesetzgeber hat auch sein IT-Sicherheitsgesetz 2.0 als wesentlichen Bestandteil der Umsetzung der NIS-Richtlinie angepasst, der in Zukunft NIS2 folgen wird.

Im Dezember 2020 schlug die Europäische Kommission die NIS2 vor, eine Überarbeitung der NIS-Richtlinie von 2016, die darauf abzielt, die Cybersicherheit zu stärken, die Digitalisierung in der gesamten Europäischen Union zu verbessern und staatliche Stellen, insbesondere in Deutschland, zu ermutigen, ihre Cybersicherheitsprozesse in Zusammenarbeit mit den Mitgliedstaaten zu überwachen.

Erfahren Sie mehr über die NIS-Richtlinie >

Was sind die Anforderungen der NIS-Richtlinie?

Die NIS-Richtlinie gilt für Betreiber wesentlicher Dienste und Anbieter digitaler Dienste in der EU, zu denen der Energiesektor, das Gesundheitswesen, der Verkehr, Online-Marktplätze und andere Dienste innerhalb der digitalen Infrastruktur mit bestimmten Richtlinien gehören. Sie müssen:

Sie verfügen über die richtigen Fähigkeiten im Bereich des Cyber-Bedrohungs- und Risikomanagements, um CSIRTs (Cyber Security Incident Response Teams) zu implementieren.
Datenschutzmaßnahmen zum Schutz des IoT und der intelligenten Infrastruktur;
Führen Sie regelmäßig Cyber-Übungen durch;
In der Lage sein, grenzüberschreitend mit anderen Ländern innerhalb eines CSIRT-Netzwerks zusammenzuarbeiten;
Führen Sie eine Überwachung der Cybersicherheit durch.

Für Unternehmen und Organisationen innerhalb der EU verpflichtet die NIS-Richtlinie alle deutschen Betreiber wesentlicher Dienste (OES), zu denen auch die deutschen KRITIS-Gesellschaften gehören,

geeignete Sicherheitsmaßnahmen zur Stärkung ihrer IT-Infrastruktur zu ergreifen;
Melden Sie Cybersicherheitsvorfälle rechtzeitig "ohne unangemessene Verzögerung";
Benachrichtigen Sie alle Behörden und betroffenen Stellen im Falle einer Datenschutzverletzung.

Ist die Einhaltung der NIS-Richtlinie verpflichtend?

Ja. Alle EU-Mitgliedstaaten, Organisationen und Unternehmen können die NIS-Richtlinie einhalten, indem sie geeignete Risikomanagementmaßnahmen ergreifen und das Protokoll zur Meldung von Vorfällen befolgen.

Welche Strafen drohen bei Nichteinhaltung der NIS-Richtlinie?

Alle Unternehmen, die die NIS-Richtlinie nicht einhalten, müssen mit Geldstrafen von bis zu 17 Mio. GBP oder 4 % ihres weltweiten Jahresumsatzes rechnen.

Telekommunikation-Telemedien-Datenschutzgesetz

Im Dezember 2021 wurden das Telemediengesetz (TMG) und das Telekommunikationsgesetz (TKG) zu einem Gesetz zusammengeführt, dem Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG).

Mit der Zusammenlegung dieser Rechtsakte ist der deutsche Gesetzgeber seiner Verpflichtung zur Umsetzung von europäischem Recht in nationales Recht zur europäischen NIS-Richtlinie nachgekommen. Das IT-Sicherheitsgesetz 2.0 spielt auch eine Rolle bei der Novellierung von Cybersicherheitsvorschriften im Mobilfunknetz.

Welche Anforderungen stellt das TMG?

Das TMG legt Sicherheitspflichten für Unternehmen und Anbieter digitaler Dienste fest:

Implementieren Sie dem Stand der Technik entsprechende organisatorische und technische Maßnahmen, die den unbefugten Zugriff auf Systeme und personenbezogene Daten verhindern;
Vermeidung von internen und externen Fehlfunktionen und Cybersicherheitsvorfällen.
Implementieren Sie technische Maßnahmen wie Verschlüsselung.

Was sind die Anforderungen des TKG?

Das Telekommunikationsgesetz (TKG) vom 22. Juni 2004 stellt Anforderungen an die Cybersicherheit an Betreiber elektronischer Kommunikationsnetze und Anbieter elektronischer Kommunikationsdienste. Dies gilt auch für Internetzugangsanbieter und -anbieter wie die Deutsche Telekom, nicht aber für Rundfunkdienste.

Betreiber öffentlich zugänglicher Telekommunikationsnetze sind insbesondere verpflichtet:

technische und organisatorische Maßnahmen zum Schutz des Netzwerks vor Störungen zu ergreifen;
Erstellung eines Sicherheitskonzepts durch Beauftragung eines Sicherheitsbeauftragten und Einreichung bei der BNetzA unmittelbar nach Aufnahme des Netzbetriebs;
Benachrichtigen Sie die BNetzA und das BSI unverzüglich über Beeinträchtigungen von Telekommunikationsnetzen und -diensten, die zu erheblichen Sicherheitsverletzungen führen (können).

Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste sind verpflichtet:

technische und organisatorische Maßnahmen zum Schutz des Geheimnisses von Telekommunikations- und anderen personenbezogenen Daten sowie zum Schutz des zugrunde liegenden Netzes vor Störungen zu ergreifen;
Erstellung eines Sicherheitskonzepts durch Beauftragung eines Sicherheitsbeauftragten und Einreichung bei der BNetzA unmittelbar nach Aufnahme des Netzbetriebs;
die BNetzA und das BSI unverzüglich über Beeinträchtigungen von Telekommunikationsnetzen und -diensten zu informieren, die zu erheblichen Sicherheitsverletzungen führen (können);
die BNetzA und den Bundesbeauftragten für den Datenschutz (und ggf. zusätzlich die Betroffenen) unverzüglich über jede Verletzung des Schutzes personenbezogener Daten zu informieren;
Führen eines Registers von Verstößen gegen den Schutz personenbezogener Daten;
Informieren Sie Kunden sofort über Störungen, die durch Kundendatenverarbeitungssysteme verursacht werden.

Ist die Einhaltung des TTDSG verpflichtend?

Ja. Die Einhaltung des TTDSG ist für Telekommunikationsdienstleistungen und Telemediendienste verpflichtend.

Alle Unternehmen und Privatpersonen in Deutschland, die Waren und Dienstleistungen in irgendeiner Form erbringen, fallen in den Anwendungsbereich des TTDSG, was praktisch fast jedes Unternehmen in Deutschland bedeutet. Der massive Geltungsbereich kann ein Durchsetzungsproblem darstellen, so dass Unternehmen separat prüfen müssen, wie sie rechtlich gebunden sind.

Nach der jüngsten TKG-Novelle vom Dezember 2021 gilt das TTDSG auch für Anbieter von sogenannten Over-the-Top-Diensten wie Instant Messaging oder Webmail. Zu den Telemediendiensten gehören alle Websites und Online-Dienste wie Video-on-Demand- und E-Mail-Plattformen.

Welche Strafen drohen bei Nichteinhaltung des TTDSG?

Die BNetzA (Bundesnetzagentur) ist für die Überwachung und Sicherstellung des Datenschutzes für die Telekommunikationsdienste des TTDSG zuständig.

Alle Verstöße gegen das Fernmeldegeheimnis und Cyberkriminalität unterliegen dem StGB und werden mit Freiheitsstrafe geahndet.

Wer gegen die Vorgaben des TTDSG verstößt, kann mit einem Bußgeld von bis zu 300.000 Euro bestraft werden.

Ein Verstoß gegen die Anforderungen an die Vertraulichkeit in der Kommunikation ist eine Straftat und wird sowohl nach dem Regulierungs- als auch nach dem Strafrecht je nach Schwere des Verstoßes mit bis zu zwei Jahren Freiheitsstrafe oder hohen Geldstrafen geahndet.

Lesen Sie mehr über die Strafen und Bußgelder in Bezug auf die TTDSG-Anforderungen >

Andere Cybersicherheitsorganisationen für die Meldung von Cybersicherheitsvorfällen

Das BSI verfügt über IT-Krisenzentren für die Analyse, Bewertung, Überwachung und Meldung von Cybersecurity-Vorfällen und unterstützt Unternehmen als Incident Response Support Unit bei der Sorgfaltspflicht beim Umgang mit Cybervorfällen.

Zu den weiteren Organisationen für Cybersicherheit gehört die Allianz für Cybersicherheit, eine Kooperationsplattform, die den Informationsaustausch zwischen der deutschen Wissenschaft, Forschung und dem BSI vermittelt.

Deutschland hat ein eigenes CERT (Computer Emergency Response Team). Das CERT-Bund stellt Privatpersonen, Unternehmen und Organisationen Informationen und Richtlinien zur Cybersicherheit zur Verfügung. Der CERT-Bund hat folgende Aufgaben:

Informiert über mögliche Schwachstellen in Cybersicherheitsprodukten und anderen Hardware- oder Softwareprodukten;
Erstellung und Veröffentlichung von Cybersicherheitsempfehlungen für präventive organisatorische Maßnahmen;

Hilft öffentlichen Behörden, besser auf IT-sicherheitsrelevante Vorfälle zu reagieren;
Empfiehlt aktualisierte Maßnahmen zur Risikominderung für Unternehmen und Organisationen.