Der Umgang der Bundesregierung mit der Infotecs Security Software GmbH bzw. der Protelion GmbH und dem Bundesamt für Sicherheit in der Informationstechnik in Zeiten des russischen Angriffskriegs auf die Ukraine
der Fraktion der CDU/CSU
Vorbemerkung
Seit der Ausstrahlung der Sendung „ZDF Magazin Royale“ am 7. Oktober 2022 hat die Bundesregierung verschiedentlich gegenüber Medien und Ausschüssen des Deutschen Bundestages zu dem Inhalt der Sendung Stellung genommen. Nach Auffassung der Fragesteller hat sie jedoch nicht zu einer Aufklärung der Vorgänge rund um die Protelion GmbH, vorfirmierend als Infotecs Security Software GmbH, um deren Mitgliedschaft im Cyber-Sicherheitsrat Deutschland e. V. und um die angekündigte Abberufung des Präsidenten des Bundesamts für Sicherheit in der Informationstechnik (BSI), Arne Schönbohm (https://www.tagesschau.de/inland/schoenbohm-abberufung-101.html), beigetragen.
Im Gegenteil: Sofern die Medienberichte zutreffen, hat das Bundesministerium des Innern und für Heimat (BMI) aus Sicht der Fragesteller durch widersprüchliches Agieren und Kommunizieren das Ansehen der gerade in der aktuellen Zeit nach Ansicht der Fragesteller wichtigsten Cybersicherheitsbehörde in Deutschland beschädigt. Um das öffentliche Vertrauen in das BSI wiederherzustellen und der Verunsicherung der Beschäftigten im BSI (vgl. SPIEGEL vom 20. Oktober 2022) entgegenzuwirken, bedarf es nach Meinung der Fragesteller einer vollständigen, detaillierten Aufklärung, warum die Bundesregierung in diesem Zusammenhang wann wie gehandelt hat.
Wir fragen die Bundesregierung:
Fragen25
Wann, und in welcher Form erhielt die Bundesregierung erstmals Kenntnis von der Mitgliedschaft der Protelion GmbH bzw. der Infotecs Security Software GmbH im Cyber-Sicherheitsrat Deutschland e. V.?
Hat die Protelion GmbH bzw. die Infotecs Security Software GmbH in der Vergangenheit eine oder mehrere Zertifizierungen durch das BSI beantragt?
a) Falls ja, wofür genau?
b) Falls ja, wann ging der Antrag (jeweils) beim BSI ein? Wann lag (jeweils) das BSI-interne Ergebnis der Antragsprüfung – vor Beteiligung des BMI – vor, und wie lautet dieses Ergebnis?
c) Falls ja, wann wurde das BMI im Rahmen der Antragsprüfung (jeweils) beteiligt, und hat die Beteiligung des BMI (jeweils) zu einer Änderung des Ergebnisses der Antragsprüfung geführt?
Warum hat es die Bundesregierung generell abgelehnt, in der nichtöffentlichen Sitzung des Ausschusses für Inneres und Heimat am 19. Oktober 2022 zu Fragen zu Zertifizierungen, die von der Protelion GmbH bzw. der Infotecs Security Software GmbH, beantragt wurden, Stellung zu nehmen, obwohl in der Sitzung desselben Ausschusses eine Woche zuvor, am 12. Oktober 2022, erste Fragen diesbezüglich beantwortet worden waren?
Warum wurde von Bundesbehörden vor Produkten der russischen Firma Kaspersky öffentlich gewarnt, vor Produkten der Protelion GmbH bzw. der Infotecs Security Software GmbH jedoch nicht?
Gab es konkrete Hinweise seitens der Bundesbehörden an Unternehmen, die die Produkte der Protelion GmbH bzw. der Infotecs Security Software GmbH nutzten?
a) Falls ja, nach welchem Verfahren wurden diese Unternehmen identifiziert?
b) Falls ja, wurden alle identifizierten Unternehmen gewarnt?
Wenn die Frage 5 bejaht wurde, wurde der BSI-Präsident Arne Schönbohm über die Warnungen in Kenntnis gesetzt?
Hatten nach Kenntnis der Bundesregierung Unternehmen, an denen der Bund beteiligt ist, im Jahr 2022 Kontakt zur Protelion GmbH bzw. der Infotecs Security Software GmbH, und wenn ja, wann, und zu welchem Zweck?
Haben nach Kenntnis der Bundesregierung Unternehmen, an denen die Bundesregierung bzw. die Bundesrepublik Deutschland beteiligt ist, oder deren Tochterunternehmen das Produkt ViPNet oder ein anderes Produkt der Protelion GmbH bzw. der Infotecs Internet Security Software GmbH gekauft, verkauft oder eingesetzt?
Wurden die Protelion GmbH bzw. die Infotecs Internet Security Software GmbH in der Vergangenheit mit Bundesmitteln gefördert, obwohl es entsprechende Hinweise des Verfassungsschutzes gegeben haben soll, wonach die Unternehmen Verbindungen zu russischen Nachrichtendiensten hatten (https://www.handelsblatt.com/politik/deutschland/cybersicherheit-fdp-und-union-fordern-aufklaerung-ueber-foerdermittel-fuer-dubiose-it-firma/28747722.html)?
Wäre es aufgrund der vorliegenden Erkenntnislage (Verbindungen zu russischen Nachrichtendiensten) nicht gerade erst recht angezeigt gewesen, dass das BMI das BSI anweist, eine dezidierte Überprüfung der Produkte der Protelion GmbH bzw. der Infotecs Internet Security Software GmbH durchzuführen, um Erkenntnisse zu möglichen Sicherheitslücken, Schadprogrammen oder zu einem unerlaubten Zugriff auf Daten zu gewinnen?
Stammen die in der „BILD“-Zeitung vom 10. Oktober 2022 wiedergegebenen Zitate „Es wird geprüft, wie ein schneller Präsidentenwechsel erreicht werden kann. Die geplante gemeinsame Pressekonferenz von Faeser und Schönbohm am Donnerstag wird abgesagt.“ nach Kenntnis der Bundesregierung von einer Mitarbeiterin oder einem Mitarbeiter des Bundesministeriums des Innern und für Heimat?
Trifft es nach Kenntnis der Bundesregierung zu, dass die „BILD“-Zeitung aus dem „nächsten Umfeld“ der Bundesministerin des Innern und für Heimat Nancy Faeser vor dem 10. Oktober 2022 erfahren hat, dass diese den BSI-Präsidenten Arne Schönbohm austauschen wolle (vgl. BILD-Zeitung vom 10. Oktober 2022)?
Lagen zu diesem Zeitpunkt bereits zwingende dienstliche Gründe, die gegen die Führung der Dienstgeschäfte durch BSI-Präsident Arne Schönbohm sprachen, vor?
a) Falls ja, warum wurde dem BSI-Präsidenten erst über eine Woche später – nämlich am Dienstag, den 18. Oktober 2022 – die Führung der Dienstgeschäfte verboten?
b) Falls nein und falls die Frage 12 bejaht wurde, auf welche Rechtsgrundlage stützte sich die bereits vor dem 10. Oktober 2022 öffentlich kommunizierte Entscheidung, den BSI-Präsidenten „austauschen“ zu wollen?
c) Falls nein, welche Entwicklung seit dem 10. Oktober 2022 hat für ein Vorliegen hinreichender „zwingender dienstlicher Gründe“ für ein Verbot der Führung der Dienstgeschäfte am 18. Oktober 2022 gesorgt?
Trifft es zu, dass eine Sprecherin des Bundesinnenministeriums am Montag, den 10. Oktober 2022, nicht bestätigen wollte, dass sich Bundesinnenministerin Nancy Faeser bereits für eine Ablösung von Arne Schönbohm von dem BSI-Chefposten entschieden hat (siehe dpa-Meldung vom 10. Oktober 2022, 14.27 Uhr)?
Hatte der BSI-Präsident nach Kenntnis der Bundesregierung vor dem Zeitpunkt der ZDF-Sendung „Magazin Royale“ am 7. Oktober Kenntnis
a) von der Mitgliedschaft der Protelion GmbH bzw. der Infotecs Security Software GmbH im Cyber-Sicherheitsrat Deutschland e. V.,
b) von dem Umstand, dass die Protelion GmbH bzw. die Infotecs Security Software GmbH das Tochterunternehmen eines von einem Ex-Mitarbeiter des russischen KGB gegründeten Firma war bzw. ist, und/oder
c) von dem Umstand, dass das Mutterunternehmen der Protelion GmbH bzw. der Infotecs Security Software GmbH auf einer Sanktionsliste der USA steht (SPIEGEL vom 20. Oktober 2022)?
Auf welche konkreten oder abstrakten „zwingenden dienstlichen Gründe“ stützt die Bundesregierung das gegenüber Arne Schönbohm erlassene Verbot der Führung der Dienstgeschäfte (§ 66 des Bundesbeamtengesetzes – BBG)?
Gibt es Vorwürfe aus der ZDF-Sendung „Magazin Royale“ vom 7. Oktober 2022 gegen den BSI-Präsidenten Arne Schönbohm bzw. gegen das BSI oder die Bundesregierung, die nach jetzigem Kenntnisstand nicht zutreffen, und wenn ja, welche?
Hatte die Bundesregierung oder das BSI im Zusammenhang mit der ZDF-Sendung „Magazin Royale“ vom 7. Oktober 2022 Kontakt mit der Redaktion des Magazins oder einer anderen Stelle des ZDF, und wenn ja, was waren Gegenstand und Inhalt des Austauschs?
Hat die Bundesregierung konkrete Erkenntnisse zu einer möglichen Nähe von Arne Schönbohm zu russischen Geheimdienstkreisen? Wenn ja, wurde deshalb im Rahmen eines etwaigen Sicherheitsüberprüfungsverfahrens ein Sicherheitsrisiko festgestellt?
Wann, und wie hat das BMI mit Arne Schönbohm über die im Raum stehenden Vorwürfe gesprochen?
Gab es eine eigenständige Weisung der BSI-Hausleitung, sich vom Cyber-Sicherheitsrat Deutschland e. V. fernzuhalten?
Welche Gründe lagen der Weisung des BMI aus dem Jahr 2015 zugrunde, den Cyber-Sicherheitsrat Deutschland e. V. nicht zu unterstützen?
Bis wann galt die Weisung bzw. galten die Weisungen des BMI und gilt bzw. gelten sie fort?
Hatten Referenten, Referatsleiter, Unterabteilungsleiter, Abteilungsleiter oder Staatssekretäre seit dem Inkrafttreten der Weisung Kontakt mit Vertretern des Cyber-Sicherheitsrat e. V., und wenn ja, in wie vielen Fällen (bitte nach Datum, Teilnehmern und Art des Kontakts auflisten)?
Hat die Bundesregierung dem BSI, insbesondere dem BSI-Präsidenten Arne Schönbohm und/oder Mitarbeiterinnen und Mitarbeitern des BSI auch Kontakte zu und Auftritte bei anderen Vereinen untersagt, wenn ja, welche Vereine sind betroffen, und aus welchen Gründen?