Regelungen für die digitale Kommunikation in Einrichtungen der Bundesregierung

[Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Dr. Christian Jung, Frank Sitta, Torsten Herbst, weiterer Abgeordneter und der Fraktion der FDP – Drucksache 19/22769 – Regelungen für die digitale Kommunikation in Einrichtungen der Bundesregierung V o r b e m e r k u n g d e r F r a g e s t e l l e r In den vergangenen Jahrzehnten hat sich nicht nur das Kommunikationsverhalten in der Breite der Gesellschaft, sondern auch in den Bundesministerien und nachgeordneten Behörden geändert. Das Faxgerät erfreut sich zwar nach wie vor in vielen Behörden großer Beliebtheit, die Kommunikation via E-Mail oder Smartphone ist aber auch dort zur Normalität geworden. Das bedeutet, dass etwa in Bundesministerien zentrale Informationen, die nicht nach außen dringen sollen oder dürfen, über mobile Endgeräte und E-Mail geteilt und bearbeitet werden. Klare Regelungen zur Verwendung von E-Mails und mobilen Endgeräten, wie Smartphones und Tablets, im Dienstgebrauch sind daher von enormer Bedeutung. Die Antwort der Bundesregierung auf die Schriftliche Frage 21 des Abgeordneten Dr. Christian Jung auf Bundestagsdrucksache 19/21762 hat bereits ergeben, dass es keine Regelung für die Benutzung von privaten und dienstlichen E-Mail-Adressen im Dienstgebrauch für Mitglieder der Bundesregierung gibt. Nach Meinung der Fragesteller entsteht dadurch ein erhebliches Sicherheitsrisiko und die Gefahr von Zugriffen durch externe Dritte wie Hacker und ausländische Geheimdienste. Diese Antwort der Bundesregierung legt die Frage nahe, wie die digitale Kommunikation innerhalb von Bundesministerien und nachgeordneten Behörden in den weiteren Ebenen – den Leitungsebenen und auf Ebene der Mitarbeiter – geregelt, überprüft und gesichert wird. V o r b e m e r k u n g d e r B u n d e s r e g i e r u n g Unter Einrichtungen der Bundesregierung i. S. der Abfrage werden das Bundeskanzleramt (BKAmt), alle Bundesministerien, die Beauftragte der Bundesregierung für Kultur und Medien (BKM) und das Presse- und Informationsamt der Bundesregierung (BPA) sowie ihre Geschäftsbereichsbehörden verstanden. Dem Bundesministerium für Bildung und Forschung (BMBF), Bundesministerium für wirtschaftliche Zusammenarbeit und Entwicklung (BMZ) sowie Deutscher Bundestag Drucksache 19/23635 19. Wahlperiode 26.10.2020 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern, für Bau und Heimat vom 23. Oktober 2020 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. Presse- und Informationsamt der Bundesregierung (BPA) ist kein entsprechender Geschäftsbereich zugeordnet. Einstufung der Antworten des Bundesnachrichtendienstes (BND): Die Frage 7 kann im Einzelnen für den BND nicht weitergehend beantwortet werden. Der Schutz der informationstechnischen Sicherheitsarchitektur sowie von nachrichtendienstlichen Informationen stellt ein primäres Schutzziel zur Sicherung der Funktionsfähigkeit des BND dar. Aus diesem Grund nimmt die Bundesregierung nicht öffentlich Stellung zu eventuellen Abflüssen dienstlicher Informationen. Von diesem Grundsatz kann in wohl begründeten Ausnahmefällen abgewichen werden, sofern gewährleistet ist, dass eine Veröffentlichung von Informationen keine Beeinträchtigung der Funktionsfähigkeit des BND zur Folge hat. Vorliegend ist aus Gründen des Staatswohls, insbesondere zum Zweck der Sicherstellung der Funktionsfähigkeit des BND sowie nachrichtendienstlicher Methoden, eine Beantwortung der angefragten Informationen grundsätzlich zu verweigern. Die Beantwortung der Frage würde Rückschlüsse darauf zulassen, inwieweit dienstliche Informationen des BND geschützt sind. Eine Offenlegung dieser Informationen im In- und Ausland könnte zu einer erheblichen Einschränkung der Arbeitsfähigkeit des BND führen, womit dessen Auftragserfüllung gefährdet würde. Eine Offenlegung der angeforderten Auskünfte birgt die konkrete Gefahr, dass Einzelheiten zu besonders schutzwürdigen spezifischen Fähigkeiten des BND bekannt würden, infolgedessen sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf die konkreten Vorgehensweisen, Methoden und die IT-Infrastruktur des BND ziehen könnten. Zudem würden Informationen bekannt, ob bzw. welche konkreten Informationen im BND geschützt sind. Dies würde für den BND eine höchst folgenschwere Einschränkung der Informationsgewinnung bedeuten, wodurch der gesetzliche Auftrag des BND, die Sammlung und Auswertung von Informationen über das Ausland, die von außen- und sicherheitspolitischer Bedeutung für die Bundesrepublik Deutschland sind (§ 1 Absatz 2 BNDG), nicht mehr sachgerecht erfüllt werden könnte. Das Vertrauen staatlicher und nichtstaatlicher Partner des BND darin, dass ihre Informationen geschützt sind, ist integraler Bestandteil der Arbeitsfähigkeit des BND. Die Gewinnung und Auswertung auslandsspezifischer Informationen durch den BND und hierfür die Nutzung digitaler Kommunikation ist wiederum für die Sicherheits- und Außenpolitik der Bundesrepublik Deutschland unerlässlich. Würde der BND in seinen Möglichkeiten der Informationsgewinnung beeinträchtigt, drohten empfindliche Informationslücken im Hinblick auf die Sicherheitslage der Bundesrepublik Deutschland. Eine VS-Einstufung und Hinterlegung der angefragten Informationen bei der Geheimschutzstelle des Deutschen Bundestages würde im vorliegenden Fall nicht ausreichen, um der erheblichen Sensibilität der angeforderten Informationen im Hinblick auf die Bedeutung für die Aufgabenerfüllung des BND ausreichend Rechnung zu tragen. Die angefragten Inhalte beschreiben die Fähigkeiten und Arbeitsweisen des BND so detailliert, dass eine Bekanntgabe auch gegenüber nur einem begrenzten Empfängerkreis ihrem Schutzbedürfnis nicht Rechnung tragen kann. Schon bei dem Bekanntwerden der schutzbedürftigen Informationen wäre kein Ersatz durch andere Instrumente mehr möglich. Aus dem Vorgesagten ergibt sich, dass die erbetenen Informationen derart schutzbedürftige Geheimhaltungsinteressen berühren, aufgrund derer das Staatswohl gegenüber dem parlamentarischen Informationsrecht wesentlich überwiegt. Insofern muss ausnahmsweise das Fragerecht der Abgeordneten gegenüber dem Geheimhaltungsinteresse der Bundesregierung zurückstehen. Die Fragen 8a bis c, 14, 15, 18, 21 und 23 werden für den BND wie folgt beantwortet. Eine Offenlegung der beim BND eingesetzten Technologien und Methoden könnte zu einer wesentlichen Verschlechterung der Möglichkeiten des BND führen, seinen gesetzlichen Auftrag zu erfüllen, indem es potentiellen Angreifern Angriffspunkte eröffnen und damit die Sicherheit des BND, der durch ihn geschützten Informationen seiner Mitarbeiter und seiner nachrichtendienstlichen Verbindungen schwächen würde. Es werden die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erlassenen bzw. empfohlenen Maßnahmen zum Schutz dienstlicher Informationen (Grundschutz, erweiterter Grundschutz und Geheimschutz) schutzbedarfsgerecht umgesetzt. Der BND kann darüber hinaus keine Auskunft zu den Schutzmechanismen seiner Kommunikationsmedien erteilen, da dies Methoden und Arbeitsweisen des BND offenlegen und eben diese Mechanismen gefährden würde. Diese Informationen berühren in besonders hohem Maße das Staatswohl und können daher selbst in eingestufter Form nicht beantwortet werden. Das verfassungsmäßig verbürgte Frage- und Informationsrecht des Deutschen Bundestages gegenüber der Bundesregierung wird durch schutzwürdige Interessen von Verfassungsrang begrenzt, wozu auch und insbesondere Staatswohlerwägungen zählen. Eine Offenlegung der angeforderten Informationen und Auskünfte birgt die konkrete Gefahr, dass Einzelheiten zu der Methodik und zu besonders schutzwürdigen spezifischen Fähigkeiten des BND bekannt würden, infolgedessen sowohl staatliche als auch nichtstaatliche Akteure Rückschlüsse auf die konkreten Vorgehensweisen, Methoden und die IT-Infrastruktur des BND ziehen könnten. Würden Einzelheiten zu der IT-Infrastruktur sowie deren Sicherheit im In- und Ausland bekannt, kann dies zu erheblichen nachteiligen Folgen für die Arbeitsfähigkeit des BND führen. Es besteht die konkrete Gefahr, dass das Bekanntwerden der angefragten Informationen potentiellen Angreifern Angriffspunkte eröffnen und damit die Sicherheit des BND, der durch ihn geschützten Informationen, seiner Mitarbeiter und seiner nachrichtendienstlichen Verbindungen schwächen würde. Hierdurch könnte der gesetzliche Auftrag des BND, die Sammlung und Auswertung von Informationen über das Ausland, die von außen- und sicherheitspolitischer Bedeutung für die Bundesrepublik Deutschland sind (§ 1 Absatz 2 BNDG), nicht mehr sachgerecht erfüllt werden. Die Gewinnung und Auswertung auslandsspezifischer Informationen durch den BND und hierfür die Nutzung digitaler Kommunikation ist jedoch für die Sicherheits- und Außenpolitik der Bundesrepublik Deutschland unerlässlich. Würde der BND in seinen Möglichkeiten der Informationsgewinnung beeinträchtigt, drohten empfindliche Informationslücken im Hinblick auf die Sicherheitslage der Bundesrepublik Deutschland. Eine VS-Einstufung und Hinterlegung der angefragten Informationen bei der Geheimschutzstelle des Deutschen Bundestages würde im vorliegenden Fall nicht ausreichen, um der erheblichen Sensibilität der angeforderten Informationen im Hinblick auf die Bedeutung für die Aufgabenerfüllung des BND ausreichend Rechnung zu tragen. Die angefragten Inhalte beschreiben die Fähigkeiten und Arbeitsweisen des BND so detailliert, dass eine Bekanntgabe auch gegenüber nur einem begrenzten Empfängerkreis ihrem Schutzbedürfnis nicht Rechnung tragen kann. Schon bei dem Bekanntwerden der schutzbedürftigen Informationen wäre kein Ersatz durch andere Instrumente mehr möglich. Aus dem Vorgesagten ergibt sich, dass die erbetenen Informationen derart schutzbedürftige Geheimhaltungsinteressen berühren, aufgrund derer das Staatswohl gegenüber dem parlamentarischen Informationsrecht wesentlich überwiegt. Insofern muss ausnahmsweise das Fragerecht der Abgeordneten gegenüber dem Geheimhaltungsinteresse der Bundesregierung zurückstehen. Einstufung der Antworten des Bundesamtes für Verfassungsschutz (BfV): Die Antwort zu Frage 7 kann für das BfV im Geschäftsbereich des Bundesministeriums des Innern, für Bau und Heimat (BMI) nicht offen erfolgen. Die Einstufung der Antwort auf die Frage als Verschlusssache (VS) mit dem Geheimhaltungsgrad „VS – Nur für den Dienstgebrauch (VS-NfD)“ ist im vorliegenden Fall im Hinblick auf das Staatswohl erforderlich. Nach der Verschlusssachenanweisung (VSA) sind Informationen, deren Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland oder eines ihrer Länder nachteilig sein können, entsprechend einzustufen. Eine zur Veröffentlichung bestimmte Antwort der Bundesregierung auf diese Frage würde Informationen zu den Fähigkeiten und Möglichkeiten des BfV einem nicht eingrenzbaren Personenkreis nicht nur im Inland, sondern auch im Ausland zugänglich machen. Eine solche Veröffentlichung von Einzelheiten ist daher geeignet, zu einer wesentlichen Verschlechterung der dem BfV zur Verfügung stehenden Möglichkeiten der Informationsgewinnung zu führen. Dies kann für die wirksame Erfüllung der gesetzlichen Aufgaben der Nachrichtendienste und damit für die Interessen der Bundesrepublik Deutschland nachteilig sein. Diese Informationen werden daher als „VS – Nur für den Dienstgebrauch (VS-NfD)“ eingestuft und dem Deutschen Bundestag gesondert übermittelt. Einstufung der Antworten des Bundesministeriums der Verteidigung (BMVg): Die Antwort zu Frage 13 kann für das BMVg nicht in vollem Umfang offen erfolgen. Die Einstufung der Erläuterungen zur Antwort auf die Frage als Verschlusssache (VS) mit dem Geheimhaltungsgrad „VS – Nur für den Dienstgebrauch (VS-NfD)“ ist im vorliegenden Fall im Hinblick auf das Staatswohl erforderlich. Die Bundesregierung ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die Antwort zu Frage 13 für den Geschäftsbereich des BMVg nicht offen erfolgen kann, weil das Öffentlich werden für die Interessen der Bundesrepublik Deutschland nachteilig sein kann. Diese Antwort wird daher als Verschlusssache des Geheimhaltungsgrades „VS – Nur für den Dienstgebrauch (VS-NfD)“ eingestuft und dem Deutschen Bundestag gesondert übermittelt. Dem parlamentarischen Kontrollrecht wird damit im Ergebnis Rechnung getragen.* Alle Bundesministerien sind durch die Auswirkungen der COVID-19- Pandemie und der deswegen erlassenen notwendigen Maßnahmen (https://www.bund esregierung.de/breg-de/themen/coronavirus) derzeit besonders belastet. Dies betrifft insbesondere auch die Zentralabteilungen der Häuser, die die angefragten Daten für diese Fragen aktuell zusammenstellen müssten. Um in dieser besonderen Situation die Wahrnehmung der ihnen gesetzlich bzw. aktuell zugewiesenen (Sonder-)Aufgaben nicht zu gefährden, können die Antworten zu den Fragen 1 bis 23 nur auf die zur Verfügung stehenden bzw. in der Beantwortungsfrist recherchierbaren Informationen gestützt werden. Die Bundesregierung beantwortet die Fragen 1 bis 23 deshalb wie folgt. * Das Bundesministerium des Innern, für Bau und Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden.  1. Benutzen Beamte, Angestellte oder Mitarbeiter in leitenden Positionen, die in Einrichtungen der Bundesregierung tätig sind, für ihre Arbeit neben ihren dienstlichen E-Mail-Adressen auch ihre privaten E-Mail- Adressen? a) Wenn ja, um welche Einrichtungen handelt es sich, und wie verbreitet ist nach Kenntnis der Bundesregierung die Verwendung von privaten E-Mail-Adressen im Dienstgebrauch? b) Bestehen Unterschiede in der Nutzung von privaten E-Mail-Adressen im Dienstgebrauch zwischen Beamten, Angestellten und Mitarbeitern in leitenden Positionen?  2. Benutzen Angestellte und Beamte, die Mitgliedern der Bundesregierung direkt zuarbeiten und somit im direkten Umfeld von Regierungsmitgliedern tätig sind, für ihre Arbeit und im Arbeitsbetrieb neben ihren dienstlichen E-Mail-Adressen auch ihre privaten E-Mail-Adressen? Wenn ja, um welche Einrichtungen handelt es sich, und wie verbreitet ist nach Kenntnis der Bundesregierung die Verwendung von privaten E-Mail-Adressen im Dienstgebrauch?  3. Gibt es Regelungen, die die Benutzung privater E-Mail-Adressen im Dienstgebrauch für Angestellte und Beamte untersagen oder einschränken? a) Wenn ja, wie lauten diese Regelungen? b) Gelten für Angestellte und Beamte unterschiedlicher Einrichtungen und unterschiedlicher Arbeitsebenen verschiedene Regelungen? c) Gelten für Mitarbeiterinnen und Mitarbeiter, die Mitgliedern der Bundesregierung direkt zuarbeiten und somit im direkten Umfeld von Regierungsmitgliedern tätig sind, andere Regelungen für die Nutzung privater E-Mail-Adresse im Dienstgebrauch, als für Mitarbeiterinnen und Mitarbeiter, die nicht im direkten Umfeld von Regierungsmitgliedern tätig sind? Die Fragen 1 bis 3 werden wegen ihres Sachzusammenhanges gemeinsam beantwortet. Gemäß § 16 Absatz 1 der Gemeinsamen Geschäftsordnung der Bundesministerien (GGO) wird der Schriftverkehr nach außen unter der amtlichen Behördenbezeichnung geführt. Nach Absatz 3 erfolgt der elektronische Schriftverkehr zwischen den Bundesministerien über die nach § 5 Absatz 2 betriebene Kommunikationsinfrastruktur. Die „Empfehlungen zum behördenübergreifenden E-Mail-Verkehr (vom Ausschuss für Organisationsfragen in der 117. Sitzung am 7. Juni 2011 beschlossene Fassung)“ geben unter 4. a) vor, dass bei den Angaben zum Absender grundsätzlich die zuständige organisationsbezogene Adresse (z. B. Referatspostfach) oder gegebenenfalls die Adresse der/des Bearbeiters/Bearbeiterin anzugeben ist. Darüber hinaus regeln in einzelnen Ressorts existierende Richtlinien oder Dienstvereinbarungen die Nutzung elektronischer Kommunikationssysteme. Diese Regelungen gelten für alle Beschäftigten einer Behörde. Die Regelungen für die Geschäftsbereichsbehörden (GB) sind vergleichbar. Es kann jedoch nicht ausgeschlossen werden, dass gelegentlich Beschäftigte auf privaten Accounts in dienstlichen Angelegenheiten kontaktiert werden.  4. Wie wird die digitale Kommunikation via E-Mail (private und dienstliche E-Mail-Adressen) in den Einrichtungen der Bundesregierung vor externen Zugriffen geschützt? Die E-Mail-Nutzung zu privaten Zwecken ist in den jeweiligen Hausanordnungen bzw. Dienstanweisungen geregelt und grundsätzlich unzulässig. Ausnahmen regeln die einzelnen Behörden in eigener Zuständigkeit. Sensible dienstliche Informationen werden mit den dafür dienstlich zur Verfügung gestellten und bis „VS – Nur für den Dienstgebrauch (VS-NfD)“ zugelassenen IT- Systemen via dienstlicher E-Mail-Adressen übertragen. Ein Zugriff auf die zugehörigen E-Mail-Server ist grundsätzlich ausschließlich über die Netze des Bundes (NdB) möglich. Der Geschäftsbereich des BMVg verfügt über eigene Mail-Server (Bereitstellung durch den Inhouse-Provider BWI GmbH). Die Kommunikation innerhalb der NdB erfolgt verschlüsselt. Zum Schutz der Server sowie der Kommunikation werden die Vorgaben von IT-Grundschutz, Umsetzungsplan Bund 2017 – Leitlinie für Informationssicherheit in der Bundesverwaltung (UP-Bund), NdB und weiterer einschlägiger Regelwerke beachtet.  5. Werden Beamte und Angestellte auf den verschiedenen Ebenen in Bundesministerien und nachgeordneten Behörden zum sicheren Umgang mit Informationen und Daten über E-Mail (privat und dienstlich) im Dienstgebrauch geschult? a) Wie oft finden diese Schulungen statt? b) Wenn nein, warum nicht? Die Fragen 5 bis 5b werden gemeinsam beantwortet. Die Beschäftigten werden durch ihre Dienststelle bedarfsgerecht zum sicheren Umgang mit Informationen und Daten über E-Mail im Dienstgebrauch hinreichend geschult, sensibilisiert und beraten, z. B. durch entsprechende Hausanordnungen, Dienstanweisungen, Informationsmaterial (Newsletter, Flyer, Informationen im Intranet), zu unterzeichnende Belehrungen oder individuelle Schulungen auf Grundlage von Schulungs- und Sensibilisierungskonzepten.  6. Gibt es Maßnahmen in den Einrichtungen, die die digitale Kommunikation und Weiterleitung von Dienstinformationen über E-Mail technisch einschränken, um eine Kommunikation mit unzulässigen externen E-Mail-Adressen zu unterbinden? Wenn ja, wie genau sehen diese technischen Maßnahmen aus? Wenn nein, warum nicht? Technische Maßnahmen auf der Ebene einzelner dienstlicher Informationen würden ein hohes Maß an Komplexität erfordern, wären in erheblichem Maße fehleranfällig und würden Kommunikation ggf. auf festgelegte oder vorhersehbare Inhalte beschränken, deshalb sind solche Maßnahmen nicht implementiert. Hier wird auf das besondere Vertrauensverhältnis zwischen Beschäftigten und Dienststelle abgestellt sowie auf die organisatorischen Regelungen verwiesen. In den NdB stehen jedoch technische Schutzmaßnahmen zur Verfügung, um Kommunikation mit als unzulässig eingestuften externen E-Mail-Adressen generell zu unterbinden.  7. Hat die Bundesregierung Kenntnis darüber, ob in Bundesministerien und nachgeordneten Behörden dienstliche Informationen über private oder dienstliche E-Mail-Adressen nach außen gedrungen sind, obwohl eine solche Verbreitung nicht zulässig war (bitte nach Datum des Vorfalls, Einrichtung, privaten oder dienstlichen E-Mail-Adressen und Inhalt oder Art der Information aufschlüsseln)? Für die Nutzung privater E-Mail-Adressen wird auf die Antwort zu den Fragen 1 bis 3 verwiesen. Im Geschäftsbereich des Bundesministeriums der Finanzen (BMF) gibt es keine ressortweite Erfassung solcher Vorfälle. In seltenen Einzelfällen kam es in der Vergangenheit – in der Regel durch individuelles Fehlverhalten – zu einem Versand von E-Mails an den falschen Empfänger oder eine ungewollte Offenlegung der anderen Empfänger, z. B. bei der Beantwortung von Bürgeranfragen oder bei der Ausschreibung von Dienstleistungen. Darüber hinaus sind keine entsprechenden Vorfälle bekannt. Geschäftsbereich BMI: Das BfV meldet zwei Fälle im Sinne der Fragestellung, im Übrigen wird auf die Vorbemerkung der Bundesregierung und die als „VS – Nur für den Dienstgebrauch“ eingestufte Anlage verwiesen.* Im THW sind am 12. Dezember 2019 wahrscheinlich durch den gemeldeten EMOTET-Angriff dienstliche Informationen abhandengekommen. Die betreffenden Mailadressen sind unbekannt. Des Weiteren haben Auswertungen in der Vergangenheit ergeben, dass einzelne Anwender automatische Weiterleitungen an private Mailadressen eingerichtet hatten. Diese Personen wurden gezielt angesprochen. Außerdem wurde der Sachverhalt auch in die Awareness- Kampagnen zur IT-Sicherheit aufgenommen. Im Bundesministerium der Justiz und für Verbraucherschutz (BMJV) und dessen Geschäftsbereich sind – mit Ausnahmen bei einer Geschäftsbereichsbehörde – keine dergleichen Vorfälle bekannt. Die dortigen Vorfälle (Weiterleitungen an private E-Mail-Konten) wurden dem BSI ordnungsgemäß gemeldet. Zu unzulässigen Verbreitungen dienstlicher Informationen über private oder dienstliche E-Mail-Adressen liegen der Bundesregierung darüber hinaus keine weiteren Erkenntnisse vor. Im Bundesministerium für Verkehr und digitale Infrastruktur (BMVI) liegen hierzu keine Erkenntnisse vor, im Übrigen wird auf die Vorbemerkung verwiesen.  8. Benutzen Beamte, Angestellte oder Mitarbeiter in leitenden Positionen, die in Bundesministerien und nachgeordneten Behörden tätig sind, für ihre Arbeit und im Arbeitsbetrieb mobile Endgeräte? a) Wenn ja, um welche mobilen Endgeräte handelt es sich konkret (bitte nach Art des Endgeräts und meistgenutzten Endgeräten auflisten)? Auf die Antwort der Bundesregierung zu Frage 3 der Kleinen Anfrage der Fraktion der FDP auf Bundestagsdrucksache 19/21231 wird verwiesen. * Das Bundesministerium des Innern, für Bau und Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden. b) Wenn ja, wofür werden diese mobilen Endgeräte genutzt? Die mobilen Endgeräte sind für den Dienstgebrauch. c) Handelt es sich dabei um dienstliche mobile Endgeräte oder private mobile Endgeräte (bitte nach Art des Endgeräts auflisten)? d) Besteht die Möglichkeit neben dienstlichen Endgeräten auch private mobile Endgeräte zu nutzen? e) Wie verbreitet ist nach Kenntnis der Bundesregierung die Verwendung von privaten mobilen Endgeräten im Dienstgebrauch? Die Fragen 8c bis 8e werden aufgrund ihres Sachzusammenhanges gemeinsam beantwortet. Auf die Antwort der Bundesregierung zu Frage 5 der Kleinen Anfrage der Fraktion der AfD auf Bundestagsdrucksache 19/13235 wird verwiesen. Um den Dienstbetrieb während der Corona-Pandemie sicherzustellen, wurde darüber hinaus in einigen Behörden die Nutzung privater mobiler Endgeräte vorübergehend zur Deckung notwendiger Bedarfe zugelassen. Bei einer Behörde im Geschäftsbereich des Bundesministeriums für Ernährung und Landwirtschaft (BMEL) ist das Lesen dienstlicher E-Mails auf privaten Smartphones erlaubt. f) Gibt es Bundesministerien und nachgeordnete Behörden, in denen keine mobilen Endgeräte genutzt werden? Um welche Bundesministerien und nachgeordneten Behörden handelt es sich dabei? Nein.  9. Benutzen Mitarbeiter, die Mitgliedern der Bundesregierung direkt zuarbeiten und somit im direkten Umfeld von Regierungsmitgliedern tätig sind, für ihre Arbeit und im Arbeitsbetrieb mobile Endgeräte? a) Wenn ja, um welche mobilen Endgeräte handelt es sich konkret (bitte nach Art des Endgeräts und meistgenutzten Endgeräten auflisten)? b) Wenn ja, wofür werden diese mobilen Endgeräte genutzt? c) Handelt es sich dabei um dienstliche mobile Endgeräte oder private mobile Endgeräte? d) Besteht für Mitarbeiter, die Mitgliedern der Bundesregierung direkt zuarbeiten, die Möglichkeit für ihre Arbeit und im Arbeitsbetrieb neben dienstlichen mobilen Endgeräten auch private mobile Endgeräte zu nutzen? e) Wie verbreitet ist nach Kenntnis der Bundesregierung die Verwendung von privaten mobilen Endgeräten im Dienstgebrauch? Die Fragen 9 bis 9e werden gemeinsam beantwortet. Auf die Antwort zu den Fragen 8a bis 8e wird verwiesen. 10. Gibt es Regelungen, die die Benutzung privater mobiler Endgeräte im Dienstgebrauch für Angestellte und Beamte (auf allen Ebenen und in allen Bereichen) einschränken? a) Wenn ja, wie lauten diese Regelungen? Die Fragen 10 und 10a werden gemeinsam beantwortet. Auf die Antwort zu den Fragen 8c bis 8e wird verwiesen. b) Gelten für Angestellte und Beamte unterschiedlicher Einrichtungen und unterschiedlicher Arbeitsebenen verschiedene Regelungen? c) Gelten für Mitarbeiterinnen und Mitarbeiter, die Mitgliedern der Bundesregierung direkt zuarbeiten und somit im direkten Umfeld von Regierungsmitgliedern tätig sind, andere Regelungen für die Nutzung privater mobiler Endgeräte im Dienstgebrauch als für Mitarbeiterinnen und Mitarbeiter, die nicht im direkten Umfeld von Regierungsmitgliedern tätig sind? Die Fragen 10b und 10c werden aufgrund ihres Sachzusammenhanges gemeinsam beantwortet. Diese Regelungen gelten für alle Beschäftigte einer Behörde. 11. Werden Beamte und Angestellte auf den verschiedenen Ebenen der Bundesministerien und nachgeordneten Behörden zum sicheren Umgang mit Informationen und Daten auf und über mobile Endgeräte (privat und dienstlich) im Dienstgebrauch geschult? a) Wie oft finden diese Schulungen statt? b) Wenn nein, warum nicht? Die Fragen 11 bis 11b werden gemeinsam beantwortet. Die Beschäftigten werden durch ihre Dienststelle bedarfsgerecht zum sicheren Umgang mit Informationen und Daten auf und über mobile Endgeräte im Dienstgebrauch hinreichend geschult, sensibilisiert und beraten; auf die Antwort zu Frage 5 wird verwiesen. 12. Gibt es Maßnahmen in den Einrichtungen, die die digitale Kommunikation und Weiterleitung von Dienstinformationen über mobile Endgeräte technisch einschränken, um eine Kommunikation mit und die Weiterleitung an unzulässige externe Dritte zu unterbinden? Wenn ja, wie genau sehen diese technischen Maßnahmen aus? Wenn nein, warum nicht? Auf die Antwort zu Frage 6 wird verwiesen. 13. Hat die Bundesregierung Kenntnis darüber, ob in Bundesministerien und nachgeordneten Behörden dienstliche Informationen über private oder dienstliche mobile Endgeräte kommuniziert oder nach außen gedrungen sind, obwohl eine solche Verbreitung nicht zulässig war (bitte nach Datum des Vorfalls, Einrichtung, Art des Endgeräts, privates oder dienstliches Endgerät und Inhalt oder Art der Information aufschlüsseln)? In einer nachgeordneten Behörde aus dem Geschäftsbereich des BMF wurden im Jahr 2019 dienstliche Sachverhalte über private Smartphones durch Nutzung des Messenger-Dienstes „WhatsApp“ ausgetauscht. Dieser Sachverhalt und/ oder Inhalte dieser dienstlichen Kommunikation über den privaten Messenger- Dienst sind nach heutigem Kenntnisstand nicht nach außen gedrungen. Im Geschäftsbereich des BMVg wurde ein Fall im Sinne der Fragestellung bekannt, im Übrigen wird auf die Vorbemerkung der Bundesregierung und auf die als „VS – Nur für den Dienstgebrauch“ eingestufte Anlage verwiesen.* Im Übrigen wird auf die Antwort zu Frage 7 verwiesen. 14. Wird in Bundesministerien und nachgeordneten Behörden zwischen den Mitarbeiterinnen und Mitarbeitern (Angestellte und Beamte) via Messenger-Dienst kommuniziert? a) Wenn ja, welche Messenger-Dienste werden genutzt? b) Findet diese Kommunikation über dienstliche oder private mobile Endgeräte statt? c) Gibt es Regelungen und Vorschriften für Angestellte und Beamte zur Kommunikation über Messenger-Dienste, wie lauten diese, und wie wird die Umsetzung sichergestellt und überprüft? d) Gelten für Mitarbeiterinnen und Mitarbeiter, die Mitgliedern der Bundesregierung direkt zuarbeiten und somit im direkten Umfeld von Regierungsmitgliedern tätig sind, andere Regelungen für die Nutzung von Messenger-Diensten im Dienstgebrauch als für Mitarbeiterinnen und Mitarbeiter, die nicht im direkten Umfeld von Regierungsmitgliedern tätig sind? Die Fragen 14 bis 14d werden zusammen beantwortet. Die Behörden regeln die Nutzung von Kommunikationsdiensten in eigener Zuständigkeit, wobei die Regelungen jeweils für alle ihre Beschäftigten gelten. Auf den dienstlichen Mobilgeräten können zugelassene Messenger-Dienste genutzt werden. Zuletzt wurde am 1. Juni 2020 dem Messenger-Dienst „Wire Enterprise“ durch das BSI eine Freigabeempfehlung bis zum 31. Mai 2021 erteilt. Aufgrund der negativen Beurteilung des Messenger-Dienstes „WhatsApp“ durch den Bundesbeauftragten für Datenschutz und die Informationsfreiheit (BfDI) ist dessen Nutzung auf dienstlichen IT-Systemen grundsätzlich nicht möglich. Die Freigabe zur Nutzung obliegt den jeweiligen Behörden. Grundsätzlich ist die Nutzung dienstlicher mobiler Endgeräte der dienstlichen Kommunikation vorbehalten und eine Nutzung privater Messenger-Dienste für dienstliche Zwecke untersagt. Es liegt im Ermessen der jeweiligen Behörden, im Rahmen dienstlicher Erfordernisse und im Einklang mit den Maßgaben für Datensicherheit (BSI-Vorgaben) und Datenschutz (DSGVO) die Nutzung geeigneter Kommunikationstechnik zu ermöglichen. Es kann daher nicht ausgeschlossen werden, dass Beschäftigte der Bundesregierung in einzelnen Behörden auch über private Messenger-Dienste zu dienstlichen Angelegenheiten kontaktiert werden. Eine Erfassung über die Verwendung privater Messenger- Dienste erfolgt nicht. Im Übrigen wird auf die Antwort der Bundesregierung zu Frage 22 der Kleinen Anfrage der Fraktion BÜNDNIS 90/DIE GRÜNEN auf Bundestagsdrucksache 19/10084 verwiesen. * Das Bundesministerium des Innern, für Bau und Heimat hat die Antwort als „VS – Nur für den Dienstgebrauch“ eingestuft. Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Berechtigten eingesehen werden. 15. Kommunizieren Angestellte und Beamte mit externen Stakeholdern via Messenger-Dienste? a) Wenn ja, um welche Messenger-Dienste handelt es sich? b) Findet diese Kommunikation über dienstliche oder private mobile Endgeräte statt? c) Gibt es Regelungen und Vorschriften für Angestellte und Beamte zur Kommunikation über Messenger-Dienste, wie lauten diese, und wie wird die Umsetzung sichergestellt und überprüft? d) Gelten für Mitarbeiterinnen und Mitarbeiter, die Mitgliedern der Bundesregierung direkt zuarbeiten und somit im direkten Umfeld von Regierungsmitgliedern tätig sind, andere Regelungen für die Nutzung von Messenger-Diensten im Dienstgebrauch in der Kommunikation mit externen Stakeholdern als für Mitarbeiterinnen und Mitarbeiter, die nicht im direkten Umfeld von Regierungsmitgliedern tätig sind? Die Fragen 15 bis 15d werden gemeinsam beantwortet. Auf die Antwort zu Frage 14 wird verwiesen. 16. Benutzen Mitglieder der Bundesregierung Messenger-Dienste, um mit Mitarbeiterinnen und Mitarbeitern und Kolleginnen und Kollegen im Dienstgebrauch und über dienstliche Themen zu kommunizieren? a) Wenn ja, um welche Regierungsmitglieder handelt es sich? b) Wenn ja, um welche Messenger-Dienste handelt es sich? c) Gelten für Regierungsmitglieder andere Regelungen als für Angestellte und Beamte, die in Einrichtungen der Bundesregierung tätig sind? Die Fragen 16 bis 16c werden aufgrund ihres Sachzusammenhanges gemeinsam beantwortet. Das Bundesministergesetz und die Geschäftsordnung der Bundesregierung (GOBReg) enthalten keine Regelungen für die Verwendung von Messenger- Diensten für die Mitglieder der Bundesregierung. Im Übrigen wird auf die Antwort zu Frage 14 verwiesen. 17. Gibt es in der Bundesregierung Regelungen zur Zulässigkeit oder Unzulässigkeit der Nutzung bestimmter Messenger-Dienste für die dienstliche Kommunikation? Auf die Antwort zu Frage 14 wird verwiesen. 18. Welche Messenger-Dienste sind als zulässig eingestuft und welche als unzulässig, und mit welcher Begründung? Auf die Antwort zu Frage 14 wird verwiesen. 19. Besteht in Bundesministerien und nachgeordneten Behörden für Angestellte und Beamte die Möglichkeit, mit Hilfe von Dual-SIM dienstliche Kommunikation und Tätigkeiten auf ihrem privaten mobilen Endgerät zu verwalten und zu erledigen? Die private Mitnutzung der dienstlichen IT-Ausstattung und der Telekommunikationseinrichtungen wird in den Hausanordnungen und Dienstanweisungen der jeweiligen Behörden geregelt und ist grundsätzlich nicht zulässig. Im Übrigen wird auf die Antworten zu den Fragen 3, 4 und 10 verwiesen. 20. Wird Mobile Device Management in Bundesministerien und nachgeordneten Behörden genutzt, und wenn ja, in welchen Einrichtungen, und in welchen Bereichen? BKAmt, BMI, Auswärtiges Amt, Bundesministerium für Wirtschaft und Energie, BMJV, Bundesministerium für Arbeit und Soziales, BMEL, Bundesministerium für Gesundheit, Bundesministerium für Umwelt, Naturschutz und nukleare Sicherheit, BMBF, BMZ, BMVI sowie grundsätzlich auch deren nachgeordnete Behörden setzen ein zentrales Mobile Device Management für die Verwaltung der mobilen Geräte (Smartphones, Tablets, Notebooks) ein. Im BMF erfolgt dies über den zentralen IT-Dienstleister ITZBund. Die BWI GmbH als 100-prozentige Inhouse-Gesellschaft des Bundes und Full-Service- Provider des Geschäftsbereichs des BMVg setzt ein Mobile Device Management für die Verwaltung der dienstlichen mobilen Endgeräte ein. Die Behörden im Geschäftsbereich des Bundesministeriums für Familie, Senioren, Frauen und Jugend (BMFSFJ) setzen kein Mobile Device Management ein. Im Bereich der sicheren mobilen Endgeräte wird für das BSI-zugelassene Verfahren ein Mobile Device Management im BMFSFJ genutzt. 21. An welchen Standorten befinden sich die Server, auf denen die digitale Kommunikation der Bundesministerien und nachgeordneten Behörden gespeichert wird, um welchen Server-Hosting-Service handelt es sich? Eine zentrale Speicherung der Kommunikation der Bundesministerien und nachgeordneten Behörden findet in der Bundesverwaltung nicht statt. Ein Großteil der digitalen Kommunikation erfolgt über E-Mails der Bundesbeschäftigten. Diese werden an zentralen NdB-Standorten ins Regierungsnetz geroutet. Das ermöglicht effektive zentrale Mechanismen zum Schutz der Informationssicherheit. Die Speicherung im erforderlichen Umfang erfolgt einschließlich einer Entscheidung über den dabei verwendeten Standort dezentral in der Verantwortung der jeweiligen Behörde. 22. Wie stellt die Bundesregierung sicher, dass bei der Nutzung privater E-Mail-Adressen oder privater mobiler Endgeräte für dienstliche Zwecke alle relevanten datenschutzrechtlichen Vorschriften eingehalten werden? Auf die Antworten zu den Fragen 5, 11 und 19 wird verwiesen. 23. Wie werden die Sicherheit der digitalen Kommunikation und die Informationssicherheit, etwa beim Schutz gegen externe Zugriffe durch Hacker, innerhalb der Bundesministerien und nachgeordneten Behörden sichergestellt und überprüft? a) Findet diese Überprüfung durch eine externe Stelle statt? Wenn ja, um welche Stelle handelt es sich? Wenn nein, warum nicht? b) Wie oft werden die sichere digitale Kommunikation und die Informationssicherheit innerhalb der Bundesministerien und nachgeordneten Behörden überprüft? c) Wie wird diese Überprüfung nachgewiesen? Findet eine Zertifizierung statt? Wenn ja, um welche handelt es sich dabei? Wenn nein, warum nicht? d) Werden sogenannte Penetrationstest durchgeführt? Wenn ja, wie oft, und mit welchem Ergebnis? Wenn nein, warum nicht? Die Fragen 23 bis 23d werden gemeinsam beantwortet. Der Schutz gegen Angriffe wird u. a. durch den Einsatz zugelassener IT- Systeme, der Umsetzung erforderlicher Anforderungen des IT-Grundschutzes, der Beachtung der Vorgaben der Verschlusssachenanweisung (VSA) sowie UP- Bund und NdB gewährleistet. Der UP Bund sieht regelmäßige Überprüfungen der Informationssicherheit vor, darunter jährliche Sachstandserhebungen in allen Einrichtungen der Bundesverwaltung. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]