Opposition attackiert Berliner Wirtschaftssenatorin: CDU fordert Rauswurf von Ramona Pop als Chefin des BVG-Aufsichtsrats

Der Streit zwischen den Berliner Verkehrsbetrieben (BVG) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) wird für Wirtschaftssenatorin Ramona Pop (Grüne) politisch riskant.

Der Chef der CDU-Fraktion im Abgeordnetenhaus, Burkard Dregger, verlangt, dass der Regierende Bürgermeister Michael Müller (SPD) drastische Konsequenzen zieht.

Dregger forderte am Freitag Müller auf, dafür zu sorgen, dass Pop als Aufsichtsratsvorsitzende der BVG „unverzüglich abgelöst und durch einen Experten ersetzt wird“. Der Regierungschef selbst sieht offenbar zumindest Redebedarf. Seine Sprecherin teilte mit, „der Konflikt zwischen der BVG und dem Bundesamt für Sicherheit in der Informationstechnik wird zu gegebener Zeit im Senat erörtert werden und dort eine Rolle spielen.“

Die Senatorin hatte am Donnerstag in der Fragestunde des Abgeordnetenhauses zugegeben, erst im Juni 2020 über das BSI von dessen Konflikt mit der BVG erfahren zu haben. Auf Anfrage des Tagesspiegels teilte der Sprecher von Pop mit, der Präsident des BSI, Arne Schönbohm, habe die Senatorin "als Aufsichtsratsvorsitzende unter der Adresse der BVG angeschrieben". Das Schreiben sei der BVG am 5. Juni 2020 zugegangen und am 22. Juni dem Büro der Senatorin zugeleitet worden.

Der Streit um die vom BSI eingeforderte Pflicht zum Nachweis der bestmöglichen IT-Sicherheit gegen Cyberattacken schwelt bereits seit 2018. Die BVG weigert sich, die gesetzliche Befugnis des BSI zur Kontrolle der IT-Sicherheit der Verkehrsbetriebe und der Vorkehrungen gegen Hackerangriffe anzuerkennen. Die BVG hat dem Bundesamt nur „freiwillig“ Angaben zu vier Anlagen gemacht. Das reicht dem BSI nicht. Und der Streit eskalierte nach dem Juni noch.

Im Oktober reichte die BVG Klage gegen das BSI ein

Die BVG reichte, wie berichtet, im Oktober beim Verwaltungsgericht Köln eine Klage gegen das in Bonn ansässige Bundesamt ein. Das Verfahren könnte, sagte ein Sprecher des Gerichts, ein Jahr oder noch länger dauern. Es sei „völlig unbegreiflich“, sagte Dregger, „wieso Pop einen zeitraubenden Rechtsstreit der BVG gegen das BSI gestattet“.

Wurde Pop von der BVG im Unklaren gelassen?

Fragwürdig erscheint allerdings auch die Kommunikation der BVG. Der Sprecher der Senatorin sagte, die BVG habe den Aufsichtsrat erst nach Einreichung der Klage informiert. BVG-Sprecherin Petra Nelken erklärte am Freitag auf Anfrage des Tagesspiegels, die Verkehrsbetriebe hätten "der guten Ordnung halber" das Bundesamt bereits vor Einreichung der Klage informiert. Die Frage, wann die BVG die Aufsichtsratsvorsitzende Pop einweihte, blieb offen. Nelken sagte, über "Sachstände" werde in den Sitzungen des Aufsichtsrates berichtet. Die Inhalte unterlägen der Vertraulichkeit. Auf die Frage des Tagesspiegels, warum Pop die Klage nicht verhinderte, sagte der Sprecher der Senatorin, die Zuständigkeit für das operative Geschäft, wie zum Beispiel Rechtsstreitigkeiten, "obliegt dem Vorstand der BVG".

Dregger hält indes Pop vor, sie hätte als Aufsichtsratsvorsitzende schon im Juni umgehend den BVG-Vorstand veranlassen müssen, die Verkehrsbetriebe „unter den Schutz des BSI zu stellen“.

Innensenator und Verkehrssenatorin an der Seite des Bundesamtes

Auch im Senat gibt es offenbar Kritik an der Position der BVG und damit indirekt an Pop. Verkehrssenatorin Regine Günter (Grüne) und Innensenator Andreas Geisel (SPD) betonten, die BVG unterliege den Bestimmungen des BSI-Gesetzes.

Demnach gelten öffentliche Verkehrsbetriebe, die mindestens 125 Millionen Fahrgäste im Jahr transportieren, als Betreiber einer hochgradig sicherheitssensiblen Kritischen Infrastruktur. Die BVG behauptet jedoch gegenüber dem BSI, sie befördere im Jahr nur 30 Millionen Fahrgäste „als natürliche Personen“. Auf der Website der BVG steht allerdings, es würden „jährlich über eine Milliarde Fahrgäste“ transportiert.

[Wenn Sie aktuelle Nachrichten aus Berlin, Deutschland und der Welt live auf Ihr Handy haben wollen, empfehlen wir Ihnen unsere App, die Sie hier für Apple- und Android-Geräte herunterladen können.]

Die Senatorin sagte am Donnerstag im Abgeordnetenhaus, die BVG orientiere sich grundsätzlich „am IT-Grundschutz des BSI“. Es erfolgten regelmäßige „Sensibilisierungsmaßnahmen“ aller Beschäftigten zu drohenden Gefahren sowie ein „regelmäßiger Scan aller extern zugänglichen IT-Systeme auf Schwachstellen“.

Das ist aus Sicht von CDU-Fraktionschef Dregger zu wenig. Der BSI-Grundschutz sei das IT-Sicherheitsniveau für alle öffentlichen Verwaltungen, „aber nicht für die Betreiber Kritischer Infrastrukturen“. Diese müssten „ein erheblich strengeres Sicherheitsniveau einhalten“.

Sorge um zusätzliche Kosten für die Verkehrsbetriebe

Für Pop, so sagte sie es sinngemäß dem Abgeordnetenhaus, dreht sich der Streit zwischen BVG und BSI darum, ob das Bundesamt derart umfangreiche Anforderungen an die IT-Sicherheit der Verkehrsbetriebe stellen kann, dass erhebliche Kosten für die BVG zu erwarten wären.

Die Senatorin betonte jedoch, sie gehe davon aus, dass der Rechtsstreit mit dem BSI „einem baldigen, und zwar guten Ende zugeführt wird“. Ähnlich hatte sich Pop zuvor schon im Gespräch mit de Tagesspiegel geäußert. Wie das zu dem langwierigen Verfahren am Kölner Verwaltungsgericht passt, sagte die Senatorin aber auch dem Abgeordnetenhaus nicht.

Vom BVG-Vorstand hatte Pop keinen Bericht erhalten

Fraglich ist auch, ob die Geschichte ein gutes Ende für den BVG-Vorstand nimmt. Pop wurde vor dem Juni 2020 offenkundig nicht von der BVG über den Streit mit dem BSI informiert, obwohl der Vorstand dem Aufsichtsrat „Geschäftsfälle von außergewöhnlicher Bedeutung“ anzuzeigen hat. „Wenn das nicht geschehen ist, ist der Vorstand seiner Informationspflicht nicht nachgekommen“, sagte Pop im Parlament, „und dem werde ich nachgehen“. Offen blieb jedoch auch bei dieser Aussage, warum die Senatorin nicht schon im Juni 2020 den Vorstand fragte, aus welchem Grund er dem Aufsichtsrat den Konflikt mit dem BSI verschwiegen hatte. Hinzu kommt nun, dass die BVG offenbar Pop und den Aufsichtsrat über die Klage beim Verwaltungsgericht erst informierte, als sie dort schon eingereicht war. CDU-Fraktionschef Dregger mahnte nun Pop, „bei Betreibern Kritischer Infrastrukturen muss der Aufsichtsrat sich proaktiv über alle Fragen der IT-Sicherheit und Cyberabwehr informieren“.