Jusletter IT

Die digitale Revolution hat in allen Lebensbereichen der modernen Welt Fuß gefasst. Die bargeldlose Zahlung ist von steigender Bedeutung.¹ Die Netz- und Informationssicherheit (NIS) hat eine wachsende Bedeutung in unserer Wirtschaft und Gesellschaft. Sie ist auch eine wichtige Voraussetzung für die Schaffung eines verlässlichen Umfelds für den weltweiten Dienstleistungsverkehr.² Der Fokus des vorliegenden Beitrages soll auf der Einordnung von Bitcoins im Bereich der NIS liegen.

Bitcoins sind eine dezentralisierte, digitale Währung, die 2008 von einem anonymen Wissenschaftler, welcher unter dem Pseudonym Satoshi Nakamoto bekannt ist, beschrieben wurde. Im Gegensatz zu herkömmlichen Währungen wie Euro, Pfund oder Dollar existiert bei Bitcoins keine zentrale Verwaltungsstelle, die für die Echtheit und den tatsächlichen Wert gehandelter Währungseinheiten zuständig ist.³ Damit sind Bitcoins kein staatlich anerkanntes Zahlungsmittel. Von Haus aus sind Bitcoins kein Zahlungsmittel. Der Bitcoin an sich benötigt ja kein ausgebendes Institut, doch gibt es natürlich zahlreiche Dienstleistungen im Umfeld der Bitcoin-Verwendung. Erst durch die Akzeptanz der Bitcoins zum Erwerb von Waren oder Dienstleistungen werden Bitcoins als Zahlungsmittel verwendet.

Wo bleiben also die Rechts- und vor allem die Informationssicherheit? Um dem Thema den nötigen Raum zu geben, wird zunächst analysiert, ob und wenn ja, in welchem Ausmaß Bitcoinanbieter den bestehenden finanzrechtlichen Regulativen unterliegen und welche Folgen das in der Praxis für die vielen Bitcoinanbieter hat.

Bitcoin ist eine virtuelle Währung, die weder der Regulierung noch der Aufsicht der FMA unterliegt. Geschäftsmodelle, welche Bitcoins zum Gegenstand haben, können jedoch eine Konzessionspflicht nach einer der FMA zum Vollzug zugewiesenen Rechtsvorschriften auslösen.⁴ Bitcoins sind mangels essenzieller Voraussetzungen weder Geld noch E-Geld. Bitcoins sind auch keine Finanzinstrumente i.S.d. § 1 Z. 7 und 7 a BWG 103 oder § 1 Z. 6 WAG. Der gewerbliche Eigenhandel mit Bitcoins bedarf damit keiner BWG-Konzession, ebenso ist die Anlageberatung, Vermögensverwaltung, Annahme und Übermittlung von Aufträgen sowie der Betrieb eines Multilateralen Handelssystems (MTF) im Hinblick auf Bitcoins nach WAG konzessionsfrei. Zur Konkretisierung der zivilrechtlichen Pflichtenlage bei Bitcoin-Transaktionen können freilich die Wohlverhaltensregeln des WAG analog angewendet werden.⁵

Bitcoins sind ferner keine Zahlungsinstrumente nach ZaDiG, wohl aber Zahlungsmittel nach § 1 Abs. 1 Z. 6 BWG. Veräußerung und Umtausch von Bitcoins erfüllen den Begriff der Verwaltung von Zahlungsmitteln, wofür bei gewerblicher Tätigkeit eine Berechtigung nach dem § 4 Abs. 1 BWG erforderlich ist (Gedanke des Anlegerschutzes). Dagegen ist das Inzahlungnehmen von Bitcoins regulatorisch nicht erfasst und somit konzessionsfrei.⁶ Handelsplattformen werden laut der Finanzmarktaufsicht nicht reguliert und unterliegen keiner Aufsicht. Eine Handelsplattform kann jederzeit geschlossen werden, so mussten mehrere Handelsplattformen ihre Tätigkeit bereits wieder einstellen. Bei Schließung der Handelsplattformen, z.B. durch Insolvenz oder durch das Verbot des An- und Verkaufs und des Handels mit Bitcoins in einem Staat, besteht kein Rechts-, Einlagen- oder Anlegerschutz. Es gibt keinen zentralen Betreiber, welcher in Anspruch genommen werden kann.⁷

Im Gegensatz hierzu scheint laut Benndorf eine Einordnung des Handels mit Bitcoins unter § 1 Abs. 4 BörseG am besten geeignet. Bitcoins erfüllen als bewegliche körperliche Sachen die Anforderungen an «geeignete Waren» i.S.d. § 1 Abs. 4 BörseG. Demnach betreiben BitcoinExchanges «allgemeine Warenbörsen» als «Börseunternehmen» i.S.d. § 2 Abs. 1 BörseG und benötigen für den Handel mit Bitcoins eine Konzession des BMWFW gem. § 2 Abs. 2 BörseG. Dies gilt nicht für Unternehmen, welche Bitcoins als Gegenleistung für andere Waren, im Rahmen eines Tauschgeschäftes akzeptieren oder Leistungen rund um Bitcoins anbieten. Ob diese Einordnung nun tatsächlich den Funktionsgehalt von Bitcoins am besten verkörpert, sei dahingestellt.⁸ In Deutschland gelten Bitcoins nicht als Wertanlage, sondern als Zahlungsmittel.⁹

Die Financial Action Task Force on Money Laundering (FATF)¹⁰ befasst sich unter anderem mit der Ausarbeitung von Richtlinien zur Umsetzung der Standards und der Verfassung von Dokumenten zur «Best Practice» sowie mit Fragen der Typologie im Rahmen von Geldwäschereihandlungen.¹¹ Ziel dieser Regelungen war eine signifikante Ausweitung der Befugnisse der nationalen Finanzmarktbehörden hin zu einer gesamten Überwachung aller Zahlungsabwicklungen. In der EU führten diese Regelungen beispielsweise zur Richtlinie 2007/64/EG, der Zahlungsdiensterichtlinie.¹²

Zum Zeitpunkt der Erstellung dieser Regelungen, welche den gesamten Zahlungsverkehr erfassen sollen, gab es noch keine Bitcoins. In einem Dokument vom Juni 2014 wird festgehalten, dass virtuelle Währungen einerseits die Grundlage für zukünftige Zahlungssysteme bilden und andererseits ein sehr starkes Instrument für terroristische Aktivitäten darstellen. Auch eine Kategorisierung der virtuellen Währung wird vorgenommen.¹³

Während in den Jahren zuvor Medien bereits über Bedrohungen durch Viren, Würmer und Trojaner berichteten¹⁴, war 2011 das Jahr, in welchem Cybersicherheit, vor allem durch Aktivitäten von Hackergruppen wie Anonymous¹⁵ oder LulzSec¹⁶ fast zum Dauerthema in den allgemeinen Medien wurden.

Anonymous fiel bereits 2008 mit dem Project Chanology¹⁷, einer konzentrierten Aktion gegen die in einigen Staaten als Religionsgemeinschaft anerkannte Sekte Scientology auf. Ende 2010 folgten DDoS-Attacken¹⁸ gegen die Schweizer Postfinanz, Mastercard und Visa¹⁹, doch erst die Hackerangriffe auf das Playstation-Netzwerk von Sony im April 2011²⁰, welche im Diebstahl der Daten von mehr als 70 Millionen Nutzern gipfelten, lenkte die Aufmerksamkeit der Öffentlichkeit auch auf die umgangenen Sicherheitsmaßnahmen, statt allein auf die Ideologien²¹ der Beteiligten.²² 2011 und 2012 folgten auch in Österreich medienwirksame Hackerangriffe, beispielsweise auf die Freiheitliche Partei Österreichs (FPÖ)²³ sowie die Gebühren Info Service GmbH (GIS)²⁴, von welcher etwa 214.000 Kundendaten kopiert wurden.

2013 enthüllte Edward Snowden die weltweiten Bespitzelungsaktivitäten seines ehemaligen Arbeitgebers, des US-amerikanischen Geheimdienstes National Security Agency (NSA).²⁵ Diese Aktivitäten, über welche die Medien ausführlich berichteten, machten der Öffentlichkeit bewusst, dass Cyberbedrohungen nicht nur von privaten Gruppierungen, sondern auch von (fremden) staatlichen Organisationen ausgehen können.

In diesem Umfeld präsentierten Anfang 2013 sowohl die EU, als auch Deutschland Rechtsakte zur Cybersicherheit. Selbst wenn Sicherheit in der IT bereits zuvor sowohl von der EU, als auch von Mitgliedstaaten thematisiert wurde²⁶, so ist es sicherlich auch den zunehmenden öffentlichkeitswirksamen Hackerangriffen zu verdanken, dass Prävention und Maßnahmen in diesem Bereich nunmehr normiert werden sollen, statt weiterhin auf rein freiwillige Zusammenarbeit zu bauen.

Am 7. Februar 2013 präsentierte die Europäische Kommission die Cybersicherheitsstrategie der EU²⁷ gemeinsam mit einem Vorschlag für eine Richtlinie über «Maßnahmen zur Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit in der Union»²⁸, auch Netz- und Informationsrichtlinie oder NIS-Richtlinie genannt.

Laut Begründung des Richtlinienvorschlags wurde im Zeitraum vom 23. Juli bis zum 15. Oktober 2012 Online-Konsultation zur «Verbesserung der Netz- und Informationssicherheit in der EU» durchgeführt. Nach dieser hatten 57% der Konsultationsteilnehmer 2011 Cybersicherheitsvorfälle «mit ernsten Auswirkungen auf ihre Tätigkeiten»²⁹ zu verzeichnen. Mit der NIS-Richtlinie verfolgt die EU daher das Ziel, einen unionsweit hohen gemeinsamen Netz- und Informationssicherheitsstandard zu schaffen. Zugleich soll das Vertrauen der (potentiellen) Nutzer in Online-Dienste gestärkt werden. Der Richtlinienvorschlag erwähnt dazu die Eurobarometer-Erhebung zur Cybersicherheit 2012³⁰, nach welcher 38% der Internetznutzer in der EU Bedenken in Bezug auf die Sicherheit von Online-Zahlungen haben und infolge dieser Bedenken ihr Verhalten bei der Nutzung von Online-Diensten wie etwa e-Commerce oder e-Banking geändert haben.

Bemerkenswert ist die Schlussfolgerung der Europäischen Kommission, dass die Ist-Situation «das Ergebnis des bislang rein freiwilligen Vorgehens» ist und «keinen ausreichenden EU-weiten Schutz vor NIS-Vorfällen und NIS-Risiken»³¹ bietet. Daher sollen Marktteilnehmer, die Dienste in der EU bereitstellen, sowie die öffentliche Verwaltung verpflichtet werden, ihre Cyber-Abwehrbereitschaft zu erhöhen und die Zusammenarbeit im Bereich der Cybersicherheit zu verbessern.

Vorauszuschicken ist, dass die NIS-Richtlinie gemäß Art. 2 ausdrücklich nur der Mindestharmonisierung, wenngleich auf hohem Niveau, dienen soll. Die Mitgliedstaaten sind daher nicht daran gehindert, höhere Sicherheitsstandards oder zusätzlich Maßnahmen vorzusehen.

• Nationale NIS-Strategie und nationaler NIS-Kooperationsplan (Art. 5): Die Mitgliedstaaten sind zur Annahme einer Strategie und eines Kooperationsplans im Bereich der Cybersicherheit verpflichtet.³²
• Für die Netz- und Informationssicherheit zuständige nationale Behörde (Art. 6): Die nationale Behörde ist mit angemessenen technischen, finanziellen und personellen Ressourcen auszustatten. Sie ist überwacht die Anwendung der NIS-Richtlinie auf nationaler Ebene, trägt zu ihrer einheitlichen Anwendung in der Union bei und arbeitet auch mit den nationalen Strafverfolgungs- und Datenschutzbehörden zusammen.³³
• Kooperationsnetz (Art. 8): Die zuständigen Behörden und die Kommission bilden ein Netz für die Zusammenarbeit bei der Bewältigung von Cybersicherheitsrisiken und –vorfällen.
• Sicherheitsanforderungen und Meldepflicht (Art. 14): Die öffentliche Verwaltung und Marktteilnehmer haben «geeignete technische und organisatorische Maßnahmen» zu ergreifen, um «die Risiken für die Sicherheit der Netze und Informationssysteme, die ihnen unterstehen und die sie für ihre Tätigkeiten nutzen, zu managen».³⁴
• Normung (Art. 16): Um eine einheitliche Umsetzung des Art. 14 zu gewährleisten, müssen die Mitgliedstaaten die Anwendung einschlägiger Normen fördern, zu denen die Kommission eine Liste erstellen wird.
• Sanktionen (Art. 17): Die Mitgliedstaaten müssen Sanktionen vorsehen, die «wirksam, angemessen und abschreckend» sind, um die Anwendung der NIS-Regeln zu gewährleisten.

Von der NIS-Richtlinie sollen gemäß Art. 3 Abs. 8 «Marktteilnehmer», das sind «Anbieter von Diensten der Informationsgesellschaft» (lit. a) sowie «Betreiber kritischer Infrastrukturen» (lit. b) erfasst sein. Nach der nicht erschöpfenden Aufzählung in Anhang II der NIS-Richtlinie wären das z.B. Plattformen des elektronischen Geschäftsverkehrs, Internet-Zahlungs-Gateways, Strom- und Gasversorger, Luftfahrtunternehmen oder Kreditinstitute. Kleinstunternehmen im Sinne der Empfehlung 2003/361/EG³⁵ sind von den Sicherheitsanforderungen und der Meldepflicht ausgenommen.

Auch wenn Bitcoins bislang in keinem Mitgliedstaat der EU als elektronisches Geld – welches sich begrifflich und rechtlich von Zahlungsmitteln unterscheidet – anerkannt sind und Bitcoins-Börsen daher keiner finanzmarktrechtlichen Regulierung unterliegen, wären durch diese Regelung auch Bitcoins-Börsen als Plattformen des elektronischen Geschäftsverkehrs von der NIS-Richtlinie erfasst. Ob dies auch so bleibt, ist aber fraglich. Das Europäische Parlament hat in der ersten Lesung am 13. März 2014 den Kommissionsvorschlag zwar grundsätzlich angenommen, in seiner Entschließung³⁶ aber stark modifiziert.³⁷

Diese Handelsplattformen sind von den Nutzern, welche Bitcoins kaufen oder verkaufen, zu unterscheiden. Der einzelne Nutzer der Bitcoins kann als Konsument gesehen werden. Die Handelsplattform ist mit einer Bank vergleichbar, die Nutzer der Plattform mit den Kunden dieser Bank.³⁸ Nach Art. 3 Abs. 8 Buchstabe a des Entwurfes der NIS-Richtlinie sind «Anbieter von Diensten der Informationsgesellschaft» solche Anbieter, die die Bereitstellung anderer Dienste der Informationsgesellschaft ermöglichen; Anhang II enthält eine nicht erschöpfende Liste solcher Anbieter. So werden in Ziffer 1 des Anhangs II Plattformen des elektronischen Geschäftsverkehrs genannt. Deshalb sind Handelsplattformen nicht als Infrastrukturbetreiber, sondern als Diensteanbieter einzuordnen. Sollten Dienstanbieter daher – wie vom EU-Parlament vorgeschlagen – nicht reguliert werden, wäre Bitcoin-Handelsplattformen nicht von der NIS-Richtlinie umfasst.

Am 12. März 2013 präsentierte die deutsche Bundesregierung ihren ersten «Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme», das IT-Sicherheitsgesetz³⁹. Dieses wird kein eigenes Gesetz sein, sondern bestehende Gesetze, allen voran das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), novellieren. Der aktuelle Entwurf wurde am 17. Dezember 2014 von der Bundesregierung beschlossen.

Obwohl die Erläuterungen zum IT-Sicherheitsgesetzt, im Gegensatz zur Begründung des Richtlinienvorschlags, auf diesen Punkt nicht eingehen, würde mit diesem Gesetz das derzeit etablierte Meldeverfahren im Rahmen der erst 2012 gegründeten Allianz für Cybersicherheit⁴⁰ abgeschafft werden.

Im Gegensatz zur NIS-Richtlinie erfasst das IT-Sicherheitsgesetz gemäß § 8a nur Betreiber kritischer Infrastrukturen, wobei Kleinstunternehmer wieder ausgenommen sind. Die Definition entspricht im Wesentlichen jener der NIS-Richtlinie. Welche Betreiber aber letztendlich betroffen sind, legt gemäß § 10 das Bundesministerium des Innern per Verordnung fest.

Gemäß § 8a müssen Betreiber kritischer Infrastrukturen binnen 2 Jahren nach Inkrafttreten der vorgenannten Verordnung angemessene organisatorische und technische Vorkehrungen zur Absicherung der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer Systeme treffen. Auch hier ist der Stand der Technik zu berücksichtigen wobei Angemessenheit vorliegt, wenn der erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Infrastruktur steht. Der Nachweis der Erfüllung dieser Verpflichtung ist zumindest alle 2 Jahre «auf geeignete Weise» nachzuweisen, beispielsweise durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Das BSI muss damit nicht mehr die Angemessenheit der Maßnahmen selbst prüfen sondern vielmehr die Angemessenheit der verwendeten Prüf- und Zertifizierungsverfahren.

Erhebliche Sicherheitsvorfälle, die zu einem Ausfall oder einer Beeinträchtigung geführt haben oder hätten führen können sind von den Betreibern nach § 8b an das BSI zu melden. Nachdem betroffene Unternehmen erfahrungsgemäß Sicherheitsvorfälle nach Möglichkeit lieber verschweigen, als über diese unter Namensnennung zu berichten⁴¹, wurde die Möglichkeit einer pseudonymen Meldung durch eine Kontaktstelle oder einer brancheneigenen Ansprechstelle vorgesehen.

Das BSI ist nach § 8b zentrale Meldestelle für alle. Es kann Warnungen sowohl an betroffene Kreise, als auch an die Öffentlichkeit herausgeben. Zudem kann es auch Sicherheitsmaßnahmen sowie den Einsatz bestimmter Sicherheitsprodukte empfehlen. Bemerkenswert ist die Befugnis des BSI gemäß § 7a informationstechnische Produkte und Systeme auch vor Markteinführung zu untersuchen. Vor Veröffentlichung der gewonnenen Erkenntnisse ist aber dem Hersteller der betroffenen Produkte und Systeme mit angemessener Frist Gelegenheit zur Stellungnahme zu geben. Auffällig ist das Fehlen jeglicher Sanktionen.

Am 20. März 2013 präsentierte die Bundesregierung die neue Österreichische Strategie für Cyber Sicherheit.⁴² Am 16. Mai 2014 folgte sodann die Ankündigung eines Cyber-Sicherheits-Gesetzes. Von diesem Gesetz existiert bislang zwar noch kein Entwurf, es kann aber davon ausgegangen werden, dass das geplante Gesetz auch umgesetzt werden wird.

Cybersicherheitsinitiativen gibt es in Österreich bereits seit 2002, als von der ISPA und dem Bundeskanzleramt aus Anlass des 2000 verbreiteten Loveletter-Virus die Computer Incident Response Coordination Austria (CIRCA) geschaffen wurde. 2008 wurden die Agenden von CIRCA vom neu geschaffenen Computer Emergency Response Team (CERT) sowie dem Government Computer Emergency Response Team (GovCERT) übernommen. Die Hauptaufgabe beider CERTs ist die Sammlung von Informationen zu Sicherheitsvorfällen, welche bislang allein auf freiwilliger Basis gemeldet werden, die Koordinierung der Reaktionen und die Herausgabe sicherheitsrelevanter Meldungen.

Im Dezember 2014 führte das Kuratorium Sicheres Österreich (KSÖ) unter Beteiligung u.a. der CERTs und des Bundesministeriums für Inneres eine Cybersecurity-Übung durch. Die Koordinierung wurde, gewissermaßen als Generalprobe, vom geplanten Cyber-Security-Center (CSC) des Bundesministeriums für Inneres übernommen. Die Übung zeigte, dass die Zusammenarbeit zwischen staatlichen und privaten Teilnehmern zwar gut funktionierte, jedoch ein CSC unumgänglich war. Daher soll dieses bereits 2015 in Probebetrieb gehen. Ebenso zeigte die Übung Defizite bei den rechtlichen Rahmenbedingungen, weil oft unklar war, ob bestimmte Informationen aus rechtlicher Sicht geteilt werden dürfen oder nicht. Die Einführung eines Cyber-Sicherheits-Gesetzes erweist sich damit als unumgänglich.⁴³

Bitcoin-Börsen scheinen sich derzeit, zumindest was die bevorstehenden rechtlichen Regelungen zur IT-Sicherheit betrifft, in einer sehr gemütlichen Position zu befinden: Mangels Anerkennung von Bitcoins als elektronisches Geld und nachdem sich ein Trend abzuzeichnen scheint, (einstweilen) nur Betreiber kritischer Infrastrukturen den Cybersicherheitsgesetzen zu unterwerfen, ist die Chance eher gering, dass sie die neuen IT-Sicherheitsregeln einhalten müssen.

Gänzlich außer Acht lassen sollten sie die neuen Regelungen aber nicht. Das nicht allein, weil die nationalen Behörden Meldungen und Empfehlungen ausgeben können, welche auch außerhalb kritischer Infrastrukturen von Relevanz sind. Viel relevanter ist das Kriterium der Angemessenheit der ergriffenen Sicherheitsmaßnahmen, bei dem nicht allein auf den Stand der Technik, sondern auf das potentielle Risiko abgestellt wird, ohne Berücksichtigung finanzieller Faktoren. Wiewohl dieses Kriterium nicht für alle Unternehmen verbindlich sein wird, hat es doch das Potential zu einer neuen Auslegungsregel für die Eignung ergriffener IT-Sicherheitsmaßnahmen, besonders in Branchen, die mit relativ hochwertigen elektronischen Gütern handeln.

Bachler, Martina/Nothegger, Barbara, Bye-bye, Bares! Format 49/2014, 25 ff.

Benndorf, Laurenz, Bitcoins Versuch der rechtlichen Entschlüsselung einer Kryptowährung, Diplomarbeit Universität Graz (2014).

Bundeskanzleramt Österreich (Hrsg.), Österreichische Strategie für Cyber Sicherheit, Bundeskanzleramt Österreich, Wien (2013).

Bundesministerium des Innern (Hrsg.), Cyber-Sicherheitsstrategie für Deutschland, Bundesministerium des Innern, Berlin (2011).

Eberwein, Helgo/Steiner, Anna Zoe (Hrsg.), Bitcoins, Jan Sramek Verlag, Wien (2014).

---

 

Helgo Eberwein, Jurist, Bundesministerium für Inneres¹, Abteilung III/4, Aufenthalts-, Personenstands- und Staatsbürgerschaftswesen, Herrengasse 7, 1014 Wien, AT, helgo.e@web.de

 

Árpád Geréd, Rechtsanwalt, Maybach Görg Lenneis Geréd Rechtsanwälte GmbH, Museumstraße 5, 1070 Wien, AT, a.gered@mglp.eu, http://www.mglp.eu

 

Der Beitrag gibt ausschließlich die persönliche Meinung des Autors wieder und ist weder als Äußerung im Rahmen der Dienstpflicht noch als Rechtsauffassung der Behörde zu verstehen.