Kritik an Konflikt zu IT-Sicherheit: Berliner Abgeordnete verärgert über BVG und Ramona Pop

Im seit 2018 schwelenden Streit zwischen der BVG und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt es nun kritische Stimmen aus dem Abgeordnetenhaus. Das Verhalten der BVG und ihrer Aufsichtsratsvorsitzenden, Wirtschaftssenatorin Ramona Pop (Grüne), „gefährdet die Sicherheit unseres öffentlichen Nahverkehrs“, sagte der Vorsitzende der CDU-Fraktion, Burkard Dregger, am Mittwoch dem Tagesspiegel.

Der SPD-Abgeordnete Jörg Stroedter moniert, „es ist inakzeptabel, dass der Streit schon so lange dauert und die Parlamentarier erst aus der Zeitung davon erfahren“. Stroedter leitet den Unterausschuss „Beteiligungsmanagement und -controlling“, der sich mit den Unternehmen des Landes Berlin befasst. „Wir sind ein Kontrollausschuss“, betonte Stroedter, „wir müssen informiert werden“.

Der Tagesspiegel hatte am Mittwoch berichtet, dass sich die BVG seit 2018 trotz der hohen Gefahr von Hackerattacken weigert, den gesetzlichen Anspruch des Bundesamtes auf alle Informationen über den Stand der IT-Sicherheit beim Öffentlichen Personennahverkehr anzuerkennen.

Das Bundesamt beruft sich auf das BSI-Gesetz und eine Rechtsverordnung. Demnach gelten Verkehrsbetriebe mit mehr als 125 Millionen Fahrgästen im Jahr als „Kritische Infrastruktur“. Die Unternehmen müssen dem Bundesamt regelmäßig nachweisen, dass sie ihre IT-Systeme gegen Störungen rüsten.

Die BVG behauptet jedoch, sie hätte nur 30 Millionen Fahrgäste „als natürliche Personen“ im Jahr. Auf der Website der BVG ist allerdings von mehr als einer Milliarde Fahrgäste die Rede. Dem Bundesamt übermittelte die BVG 2018 und 2019 zudem nur zögerlich – und ohne eine Rechtspflicht anzuerkennen – Material zu vier Anlagen der Verkehrssteuerung und -überwachung.

Die Informationen reichen nicht

Doch die Unterlagen reichen dem BSI nicht. Im November 2019 schickte das Bundesamt der BVG eine Anordnung, den gesetzlichen Pflichten nachzukommen. Die BVG widersprach. Oktober 2020 reichte dann die Wirtschaftskanzlei Taylor Wessing im Auftrag der BVG beim Verwaltungsgericht Köln eine Klage gegen das BSI ein. Das Verfahren könnte ein Jahr dauern, sagt das Gericht.

Der Streit beunruhigt auch das Bundesinnenministerium. Es ist für das BSI zuständig. „Aufgrund der Versorgungsleistung der BVG bedauern wir die Position des Unternehmens“, sagte ein Sprecher.

Die Kritik aus CDU und SPD richtet sich auch speziell gegen Wirtschaftssenatorin Pop. Sie ist als Aufsichtsratsvorsitzende rechtlich für die BVG zuständig. Pop werde ihrer Kontrollverantwortung „nicht ansatzweise gerecht“, sagte Dregger. Er forderte Pop auf, die BVG „unverzüglich zu veranlassen, sich unter die Aufsicht des kompetenten BSI zu stellen und alle von dort erwünschten Meldungen abzugeben“.

[Wenn Sie alle aktuellen Nachrichten live auf Ihr Handy haben wollen, empfehlen wir Ihnen unsere runderneuerte App, die Sie hier für Apple- und Android-Geräte herunterladen können.]

Es sei offenkundig, „dass die BVG unter die Definition ,Kritische Infrastruktur’ fällt und damit der Aufsicht des BSI unterliegt“. Der CDU-Politiker mahnte, es gehe „um die Sicherheit der Fahrgäste und nicht um Eitelkeiten“. Cyberangriffe auf die Steuerungssysteme der BVG „können nicht nur zu längerfristigen Zugausfällen führen, sondern zu lebensgefährlichen Schienenunfällen“.

Das Agieren des Senats sei „maximal unglücklich“, sagte der Vorsitzende der FDP-Fraktion, Sebastian Czaja. Pop sei in der Verantwortung, bei der BVG und allen Unternehmen der Kritischen Infrastruktur „darauf zu drängen, sich bestmöglich gegen Cyberattacken zu wappne“ und die Kompetenz des BSI zu nutzen. Abgeordnete von Grünen, Linkspartei und AfD, die der Tagesspiegel um eine Stellungnahme gebeten hatte, antworteten nicht.

Pop: „Wir erwarten, dass die BVG ihre kritische Infrastruktur den Standards entsprechend sichert und schützt."

BVG-Sprecherin Petra Nelken reagierte auf die Vorwürfe aus SPD, CDU und FDP knapp. „Lassen Sie mich noch einmal betonen, dass die BVG selbstverständlich all ihre kritischen Infrastrukturen höchst professionell betreut, überwacht und schützt“, mailte Nelken. Das war es zum Thema. Bis zum Entscheid des Gerichts würden keine weiteren Kommentare abgegeben, schrieb Nelken.

SPD-Mann Stroedter wird bei BVG und Pop nachhaken. Er werde beiden schreiben, um eine „Sachstandsklärung“ zu erhalten, sagte Stroedter.

Wirtschaftssenatorin Ramona Pop sagte am Mittwoch, „selbstverständlich ist die BVG auch den Abgeordneten berichtspflichtig, insbesondere dem nicht-öffentlich tagenden Unterausschuss“. Eine schnelle Klärung der BVG mit dem BSI sei geboten, um Unklarheiten der Vergangenheit zu beseitigen. „Wir erwarten, dass die BVG ihre kritische Infrastruktur den Standards entsprechend sichert und schützt."