IT-Sicherheitsgesetz – neue Pflichten für Diensteanbieter

Der Pflichtenkatalog für Diensteanbieter in § 13 Telemediengesetz (TMG) wurde mit Wirkung zum 01.08.2015 durch einen neuen Absatz 7 erweitert.

Diese neue Regelung richtet sich an Diensteanbieter von geschäftsmäßig angebotenen Telemedien und schreibt diesen verschiedene Sicherheitsmaßnahmen vor. Diensteanbieter haben nach § 13 Abs. 7 TMG durch technische und organisatorische Vorkehrungen sicherzustellen, dass

• kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen möglich ist (§ 13 Abs. 7 Satz 1 Nr. 1 TMG) und
• die Telemedien gegen Verletzungen des Schutzes personenbezogener Daten gesichert sind (§ 13 Abs. 7 Satz 1 Nr. 2 a) TMG) und
• die Telemedien gegen Störungen, auch soweit sie durch äußere Angriffe bedingt sind, gesichert sind (§ 13 Abs. 7 Satz 1 Nr. 2 b) TMG).

Sämtliche Vorkehrungen stehen unter dem Vorbehalt, dass sie technisch möglich und wirtschaftlich zumutbar sind. Darüber hinaus müssen die Vorkehrungen den Stand der Technik berücksichtigen (§ 13 Abs. 7 Satz 2 TMG). Als mögliche Maßnahme wird insbesondere die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens genannt (§ 13 Abs. 7 Satz 3 TMG).

Diese Regelungen stellen Diensteanbieter vor eine Reihe von Schwierigkeiten. So hängt die Frage, welche Maßnahmen der einzelne Diensteanbieter nun tatsächlich umsetzen muss, um den Anforderungen des Gesetzes zu genügen, von einer Abwägung im Einzelfall ab. Klare Richtlinien fehlen derzeit. Genauso unklar bleibt, ab wann ein Anbieter geschäftsmäßig tätig ist. Genügt hierzu bereits ein Werbebanner auf dem privaten Blog? Hier bleibt eine richterliche Klärung abzuwarten.

Verstöße gegen § 13 Abs. 7 Nr. 1 und Nr. 2 a) TMG können mit einem Bußgeld von bis zu EUR 50.000 geahndet werden (§ 16 Abs. 2 Nr. 3 TMG). Auch wenn eine flächendeckende Kontrolle von staatlicher Seite derzeit unwahrscheinlich erscheint, sollte man die Planung der IT-Sicherheit und die getätigten Abwägungen gut dokumentieren und diese Erwägungen regelmäßig dokumentierbar überprüfen. Auf diese Weise verringert man sowohl das Risiko eines Bußgeldes als auch das Risiko etwaiger Ansprüche von Kunden bei Sicherheitsverletzungen.

Ob diese neuen Pflichten zugleich Marktverhaltensregeln darstellen und damit ein etwaiger Verstoß von Konkurrenten oder Verbraucherschützern sogar abgemahnt werden kann, lässt sich im Hinblick auf die diesbezüglich unklare Rechtsprechung zu vergleichbaren Normen nicht mit Sicherheit sagen. Man darf aber erwarten, dass einige Marktteilnehmer dies bis zu einer Klärung durch die Gerichte als neuen Grund für Abmahnungen nutzen werden.