Jusletter IT

Mit der Einführung von elektronischem Rechtsverkehr und e-Akte wird die Digitalisierung der bundesdeutschen Justiz massiv ausgebaut. In Zukunft soll dadurch eine Justiz entstehen, die sich moderne Zugangsmöglichkeiten und Verfahrensabläufe zu Nutze macht und dadurch einen bürgerfreundlichen Zugang ermöglicht.¹ Doch die Digitalisierung der Justiz verknüpft die Arbeitsfähigkeit der Gerichte auch mit der Funktionsfähigkeit ihrer Computersysteme. Deutlich wird dies beispielsweise an einem Angriff mit der Schadsoftware Emotet, der im Herbst 2019 das Kammergericht Berlin wochenlang in seiner Arbeitsfähigkeit einschränkte.² Ein zentraler Bestandteil für den Erfolg der Digitalisierung in der Justiz ist daher die Gewährleistung von IT-Sicherheit. Deren Umsetzung läuft aber – wie der Fall des Kammergerichts ebenfalls zeigt – alles andere als optimal.³ Ausgehend davon erläutert der Beitrag, welchen Herausforderungen sich die Justiz im digitalen Raum gegenüber sieht, wer für die Bewältigung dieser Herausforderungen verantwortlich ist und welche Wege die Justiz aus dem Minenfeld der Bedrohungen führen können.

Prinzipiell sind die IT-Systeme aller für die Rechtsprechung verantwortlichen Behörden, also der Justiz, den selben Gefahren und Angriffsszenarien ausgesetzt, wie jedes andere IT-System auch. Hinzu kommen spezifisch auf die Justiz und ihre Infrastruktur abzielende Angriffe. Diese resultieren aus der besonderen Stellung der Justiz und der damit einhergehenden Bedeutung für eine Vielzahl von Personen. Diese Bedeutung schlägt sich auch in der analogen Welt nieder und so ist es traurige Realität, dass Mitarbeiter der Justizbehörden immer wieder Ziel von teils körperlichen Angriffen, in jüngerer Zeit vor allem durch sog. Reichsbürger, werden.⁴

Durch die zunehmende Digitalisierung entstehen jedoch neue Angriffsszenarien in bisher nicht erreichbaren Größenordnungen. Viele Angriffswellen auf IT-Systeme erfolgen nicht auf ein bestimmtes Ziel, sondern in Folge von Massenangriffen. Hierbei haben die Angreifer in den meisten Fällen finanzielle Interessen.⁵ Auch wenn diese Art der Angriffe nicht auf die Justiz als solches abzielt und ihre IT-Systeme nur Beifang eines größeren Angriffs sind, können solche Szenarien erhebliche Probleme für die Behörden bedeuten. Befallene IT-Systeme können die Arbeit der gesamten Behörde zum Erliegen bringen. Dass solche Angriffe häufiger werden, ist bei einer zunehmenden Digitalisierung nur folgerichtig. Durch steigende elektronische Kommunikation erhöht sich auch die Zahl der Einfallstore für digitale Angriffe. Allein durch die Einführung des besonderen elektronischen Anwaltspostfachs (beA) wird ein Teil der bisher analog durchgeführten Kommunikation auf die digitale Ebene verlagert.⁶ Darüber hinaus gilt für digitale Angriffe auf die Justiz ein wesentlicher Grundsatz der IT-Sicherheit: Eine Veränderung des Kosten-Nutzen-Risikos schafft eine neue Ausgangslage für Angreifer. Durch die zunehmende Digitalisierung der Justiz wird die potentielle Beute bei einem erofolgreichen Angriff deutlich größer. So macht die Digitalisierung der Justiz bisher analoge Daten für einen Angreifer zumindest potentiell auf digitalem Wege verfügbar. Hinzukommt, dass Dokumente in zunehmendem Maße nicht mehr auf dem jeweiligen Rechner der bearbeitenden Person gespeichert werden, sondern an zentraler Stelle. Daher ist es bei einem erfolgreichen Eindringen in ein IT-System deutlich einfacher, eine Vielzahl an Dokumenten zu kopieren.⁷ Müsste ein Angreifer beim Einbruch in ein Gerichtsgebäude stapelweise Akten heraustragen, können im digitalen Bereich Akten schnell in großer Zahl vervielfältigt werden.

Die zunehmende Digitalisierung der Justiz führt jedoch auch zu einer Steigerung von gezielten Angriffen.⁸ Auch hier gilt das für Angreifer günstigere Kosten-Nutzen-Verhältnis bei digitalen Angriffen. Die Gründe für gezielte Angriffe auf Justizsysteme können hierbei vielfältig sein: Spaß an der Zerstörung, Rache aufgrund von subjektiv erlittenem Unrecht oder Vorteilsgewinnung durch unberechtigten Zugriff auf nicht-öffentliche Informationen sind nur einige Beispiele.⁹ Zielgerichtete Angriffe auf staatliche Infrastrukturen und Behörden sind nichts neues. Terroristische Anschläge auf Justizgebäude oder Personen sind insbesondere noch aus Zeiten der RAF bekannt. Doch auch in jüngerer Zeit verüben Angreifer Attacken auf staatliche Infrastruktur, regelmäßig auch auf digitalem Wege. So wurde etwa im Dezember 2015 die ukrainische Energieversorgung Ziel eines digitalen Angriffs, in dessen Folge über mehrere Stunden ein weitreichender Blackout eintrat.¹⁰ Terrorgruppen wie der Islamische Staat haben in der Vergangenheit ebenfalls ihre Angriffskapazitäten im Bereich des digitalen Terrorismus unter Beweis gestellt. Dies belegt exemplarisch ein Angriff auf den französischen Fernsehsender TV5Monde, in dessen Verlauf über mehrere Stunden das gesamte TV-Programm des Senders abgeschaltet wurde und Rechner-Systeme lahmgelegt wurden. Ähnliche Attacken sind auch bei der Justiz denkbar. So lässt sich auch im bereits erwähnten Fall des Kammergerichts Berlin auf mögliche Konsequenzen verweisen, wenn IS-Anhänger aus gehackten Akten an die persönlichen Daten von Zeugen in Terrorverfahren kämen: «Das bekommt eine besondere Relevanz, weil das Kammergericht in Berlin die erste Instanz für sämtliche Fälle von Terrorismus ist, beispielsweise für Rückkehrer aus dem «Islamischen Staat» (IS).»¹¹ Auch Gefahren ganz anderer Art für die Justiz können durch die zunehmende Digitalisierung entstehen. So hat sich 2014 in England ein Häftling selbst aus dem Gefängnis entlassen, indem er mit einer Fake-E-Mail-Adresse und gefälschten Mails die Gefängnisleitung instruierte.¹² Aktuelle Beispiele des sog. CEO-Frauds zeigen, wie weit sich solche Täuschungssysteme bereits entwickelt haben. Beim CEO-Fraud wird von den Tätern eine Anweisung durch den Unternehmenschef – meist per e-Mail – imitiert. Ein ähnlicher Fall wäre problemlos mit einer KI-generierten Stimme des Haftrichters vorstellbar, bei der eine Software durch Machine Learning Verfahren eine Stimme imitiert. Somit kann die Glaubwürdigkeit einer gefälschten E-Mail noch unterstützt werden. Doch auch mit simpleren Methoden können Justizstellen angegriffen werden. Sog. Reichsbürger nutzten bereits öffentlich zugängliche Informationen, um diese für «Fahndungsaufrufe» nach Richtern in sozialen Medien zu verwenden.¹³ Dies zeigt die Omnipräsenz der Digitalisierung unserer Gesellschaft. Wenn sich die Justiz konzeptuell mit diesem Thema befasst, ist dies nicht als Insellösung möglich, sondern muss eine ganzheitliche Betrachtungsweise beinhalten.¹⁴

In Anbetracht der dargestellten Bedrohungslage stellt sich die Frage, inwieweit und auf welcher Grundlage die Justiz zur Umsetzung von IT-Sicherheit verpflichtet ist. Trennen lässt sich insoweit zwischen dem Schutz von personenbezogenen Daten und der Gewährleistung der Funktionsfähigkeit der Gerichte im Allgemeinen.

Der Schutz personenbezogener Daten erfolgt einfach gesetzlich in der Regel durch das Datenschutzrecht. Insoweit ist zunächst von Interesse, welchen datenschutzrechtlichen Regelungen die Justiz unterworfen ist. Darüber hinaus kommt aber auch der Frage, welche Stelle innerhalb der Justiz als Verantwortlicher im Sinne des Datenschutzrechts für die Einhaltung der Regelungen verantwortlich ist, eine wesentliche Bedeutung zu.

Der europäische Gesetzgeber hat die Verpflichtung der Justiz zum Schutz von personenbezogenen Daten in Erwägungsgrund (EG) 20 der Datenschutzgrundverordnung (DSGVO) ausdrücklich vorgesehen. Die Justiz muss sich daher, unabhängig von einigen Sonderregelungen, bei der Verarbeitung von personenbezogenen Daten inhaltlich vollumfänglich an der DSGVO messen lassen.¹⁵ Soweit die Justiz personenbezogene Daten verarbeitet, hat sie diese daher nach Art. 32 DSGVO mit angemessenen Maßnahmen nach dem Stand der Technik zu schützen, wobei jedoch keine konkreten Maßnahmen vorgeschrieben sind. Besonders hohe Schutzanforderungen gelten für die Verarbeitung von besonders sensiblen personenbezogenen Daten, wie zum Beispiel Gesundheitsdaten, im Sinne von Art. 9 Abs. 1 DSGVO.¹⁶ Die Justiz darf diese Daten zwar auf Grundlage des Art. 9 Abs. 2 lit. f DSGVO verarbeiten,¹⁷ muss dabei jedoch den erhöhten Schutzanforderungen Rechnung tragen. Hinsichtlich der Gewährleistung von IT-Sicherheit gelten für die Justiz vor dem dargestellten Hintergrund keine Erleichterungen oder gesetzlichen Ausnahmen zur Absenkungen des Schutzniveaus. Ein zentraler Unterschied bei der Umsetzung und Einhaltung des geltenden Datenschutzrechts ergibt sich jedoch aus Art. 55 Abs. 3 DSGVO. Dieser beschränkt die Zuständigkeit der nationalen Aufsichtsbehörden soweit eine Datenverarbeitung durch ein Gericht im Rahmen einer justiziellen Tätigkeit vorgenommen wird.¹⁸ Für diese Kategorie von Verarbeitungsvorgängen sollen nach EG 20 DSGVO besondere Stellen im Justizsystem geschaffen werden. Nach dem Willen des Gesetzgebers ist die Aufgabe dieser gerichtsinternen Datenschutzaufsicht insbesondere, die Einhaltung des Datenschutzrechts sicherzustellen. In der Sache regelt Art. 55 Abs. 3 DSGVO daher nur, welche Kontrollinstanz die Einhaltung der DSGVO in der Justiz überwacht. Er ändert jedoch nichts daran, dass die DSGVO auf den Kernbereich der richterlichen Arbeit anwendbar ist.¹⁹ Für die Strafgerichte gilt auch unter Berücksichtigung der JI-Richtlinie²⁰ nichts anderes.²¹

Die grundsätzliche Anwendbarkeit eines Gesetzes auf einen Sachverhalt führt jedoch nicht automatisch zur Einhaltung des Gesetzes. Aus diesem Grund ist die Frage, wer als Verantwortlicher für die Datenverarbeitung durch die Justiz anzusehen und damit nach Art. 24 Abs. 1 DSGVO zur Umsetzung der technischen und organisatorischen Maßnahmen zur IT-Sicherheit ist, keineswegs zu vernachlässigen. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist diejenige natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Soweit die Justizbehörden hierarchisch organisiert sind, ergeben sich zunächst keine Abweichungen im Vergleich mit Privatunternehmen.²² Der Behördenleiter ist als Leiter einer nicht-öffentlichen Stelle im Sinne von § 2 Bundesdatenschutzgesetz (BDSG) gleich einem Geschäftsführer für die Datenverarbeitung innerhalb der Behörde verantwortlich.²³ Aus dem Grundsatz der richterlichen Unabhängigkeit gemäß Art. 97 Abs. 1 GG könnte sich jedoch für die Gerichte – nicht jedoch für die Staatsanwaltschaften, da diese in Deutschland grundsätzlich nicht unabhängig sind²⁴ – etwas anderes ergeben. Ausgehend davon wird teilweise vertreten, dass der einzelne Richter für die von ihm im Rahmen seiner Rechtsprechungstätigkeit vorgenommene Datenverarbeitung als Verantwortlicher anzusehen sei.²⁵ Dem wird jedoch zu Recht entgegenhalten, dass der Richter zwar die Datenverarbeitung praktisch vornehmen mag, jedoch insoweit trotz richterlicher Unabhängigkeit Teil des Gerichts als Organisationseinheit ist.²⁶ Im Ergebnis lässt sich daher festhalten, dass die Verantwortung für die Gewährleistung von IT-Sicherheit stets bei den Behördenleitern der jeweiligen Justizeinrichtungen liegt. Weitere Konstellationen wie eine gemeinsame Verantwortlichkeit mehrerer Akteure oder eine justizielle Auftragsverarbeitung sind in diesem Zusammenhang ebenfalls denkbar und möglich.²⁷

Die Verpflichtung der Justiz zur Gewährleistung von IT-Sicherheit durch die DSGVO ist in erster Linie durch den Anwendungsbereich der Verordnung selbst begrenzt. Sie gilt – wie bereits gezeigt – ausschließlich für die Verarbeitung von personenbezogen Daten. Eine generelle Verpflichtung, die Justiz vor digitalen Angriffen zu schützen, ergibt sich jedoch aus dem Justizgewährungsanspruch des Grundgesetzes. Dieser wird für den Rechtsschutz in öffentlich-rechtlichen Streitigkeiten durch Art. 19 Abs. 4 GG gewährleistet.²⁸ Für Streitigkeiten anderer Art, insbesondere zivilrechtliche, wird die Verpflichtung des Staates zur Bereitstellung einer Rechtsschutzmöglichkeit aus dem Rechtsstaatsprinzip in Verbindung mit Art. 2 Abs. 1 GG abgeleitet.²⁹ Der Justizgewährungsanspruch beinhaltet neben einem Grundrecht auf Individualrechtsschutz auch eine institutionelle Garantie.³⁰ Der Staat ist insoweit zur Schaffung einer Gerichtsbarkeit verpflichtet, die den grundgesetzlichen Rechtsschutzauftrag erfüllen kann.³¹ Dies umfasst neben den organisatorischen und verfahrensmäßigen Voraussetzungen eines wirksamen Rechtsschutzes auch die finanzielle Basis.³² Daraus lässt sich schlussfolgern, dass der Staat ein Mindestmaß an IT-Sicherheit in der Justiz zu gewährleisten hat, um die Funktionsfähigkeit der Gerichtsbarkeit sicherzustellen. Bei der Auswahl geeigneter Maßnahmen und deren konkreter Umsetzung ist der Gesetzgeber jedoch weitgehend frei.³³ Diese Gestaltungsfreiheit darf jedoch nicht darüber hinweg täuschen, dass ein klarer grundgesetzlicher Auftrag zum Schutz der Justiz vor digitalen Angriffen besteht.

Aus einer Gegenüberstellung der klaren gesetzlichen Verpflichtung zur Gewährleistung von IT-Sicherheit in der Justiz einerseits und der dargestellten Bedrohungslage ergibt sich jedoch keineswegs ein zufriedenstellendes Bild. So sind zwar einerseits in den vergangenen Jahren vergleichsweise wenige Fälle von digitalen Angriffen auf die Justiz publik geworden, andererseits gibt es dazu jedoch auch kaum belastbare Zahlen.³⁴ Eine Analyse über den Stand der IT-Sicherheit in der Justiz soll daher an dieser Stelle anhand des bereits erwähnten Angriffs auf das Kammergericht Berlin im Herbst 2019 erfolgen.

Der Angriff auf das Kammergericht wurde mit Hilfe von Emotet durchgeführt.³⁵ Dabei handelt es sich um eine Schadsoftware, die sich insbesondere durch das Verschicken von authentisch aussehenden Spam-Mails auszeichnet.³⁶ Um dieses Ziel zu erreichen, liest Emotet im Rahmen des sogenannten «Outlook-Harvesting» bestehende Kontaktbeziehungen und E-Mailinhalte aus den gehackten E-Mailpostfächern aus und verwendet diese als Vorlage für E-Mails an weitere potentielle Opfer.³⁷ Doch Emotet beschränkt sich nicht nur auf das Auslesen von E-Mailkonten zum Zweck der weiteren Verbreitung.³⁸ Die Schadsoftware kann über das Nachladen von verschiedenen Modulen auch Ransomware-Angriffe durchführen oder mit der Schadsoftware Trickbot Zugangsdaten für Online-Banking ausspähen.³⁹ Darüber hinaus kann Emotet sich über Schwachstellen im sogenannten Server Message Block (SMB) Protokoll auch im lokalen Netzwerk ausbreiten.⁴⁰ Diese zahlreichen Schädigungsmöglichkeiten in Verbindung mit der automatisierten Generierung von authentischen SPAM-Mails macht Emotet so erfolgreich, dass er auch als König der Schadsoftwaren gilt.⁴¹ Gleichwohl sind Betreiber von IT-Systemen der Schadsoftware keineswegs hilflos ausgeliefert. Die Erfolgsaussichten eines Emotet-Angriffs lassen sich vielmehr durch verschiedene Maßnahmen signifikant reduzieren.⁴²

Eine dieser vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in diesem Zusammenhang als zwingend vorgesehene Maßnahme ist der Einsatz aktueller Software.⁴³ Das Kammergericht Berlin setzte bis zuletzt mit dem System AuLAK (Automation des Landgerichts, der Amtsgerichte und des Kammergerichts) jedoch eine Software ein,⁴⁴ die für den Einsatz mit Microsoft Word95 konzipiert wurde.⁴⁵ Dass das Problem veralteter Software im Justizkontext ein häufiges Problem ist, zeigt auch das beA. So bemängelte das von der Bundesrechtsanwaltskammer nach der vorläufigen Abschaltung des beA in Auftrag gegebene Sicherheitsgutachten ebenfalls den Einsatz von veralteten Softwareelementen.⁴⁶ Dies verweist auf ein zentrales Problem: Die Softwarelösungen sind oft abhängig von externen Software-Komponenten, die stetig weiterentwickelt werden. Notwendig ist also eine ständige Anpassung und Weiterentwicklung der Justiz-Software, die ihrerseits mit Kosten und Aufwand verbunden ist. Dies stellt die Justiz vor enorme Herausforderungen und so wundert es wenig, dass auch der Nachfolger von AuLAK, das System ForumSTAR, bereits auf veraltete Komponenten angewiesen sein soll.⁴⁷

Eine weitere Herausforderung für die Justiz, die sich am Fall des Kammergericht Berlin offenbart, ist eine ausreichende Backupstrategie. So wird es beim Kammergericht Berlin bis ins Jahr 2020 dauern, bis das Gericht wieder in einen normalen IT-Betrieb übergehen kann.⁴⁸ Bis dahin haben die Richter ausschließlich über sogenannte Notfall-PCs Zugriff auf ihre Daten.⁴⁹ Während der Zeitraum zur Wiederherstellung der Daten schon jetzt zu lange erscheint, muss jedenfalls bei Einführung der eAkte eine deutlich schnellere Wiederherstellung der Daten möglich sein. Das Sichern von Daten im Rahmen von Backups ist insoweit nur ein Teil der zu bewältigenden Aufgabe, da auch eine zeitlich angemessene Wiederherstellung möglich sein muss.⁵⁰ In einem gewissen Zusammenhang damit steht auch das Problem, dass Justizdaten oftmals auf Privatgeräten verarbeitet und dorthin mittels USB-Sticks transportiert werden.⁵¹ Diese Implementierung des Konzepts von Bring-Your-Own-Device ist eine inakzeptable Gefahr für die IT-Sicherheit und daher – trotz der richterlichen Unabhängigkeit – zu Recht abzulehnen.⁵² Bei genauerer Betrachtung des Vorfalls im Kammergericht Berlin lässt sich daher festhalten, dass die IT-Sicherheit der Justiz bisher nicht in ausreichendem Maße gewährleistet wird. Während grundsätzlich technische Lösungen für die Probleme vorhanden sind, fehlt es vielfach an Konzepten und noch häufiger an deren Umsetzung.

Mit der Weiterentwicklung und Professionalisierung der Angriffe werden auch stetig Schutzmaßnahmen fortentwickelt. Der Kampf zwischen Angreifern und IT-Sicherheitsexperten gleicht einem ständigen Katz- und-Maus-Spiel. Gleichwohl existiert mittlerweile eine Vielzahl von technischen Lösungen, die geeignet sind, ein angemessenes IT-Sicherheitsniveau zu gewährleisten.⁵³ Rossow und Sorge verweisen jedoch völlig zu recht darauf, dass die technische Komponente nur ein Teil eines IT-Sicherheitskonzepts sein kann und der sog. Faktor Mensch eine ebenbürtige Rolle spielt. Gerade weil die technischen Sicherungsmaßnahmen immer besser werden, nehmen Angreifer vermehrt die menschliche Komponente als schwächstes Glied der IT-Sicherheitskette an. Hierbei wollen sich Angreifer die technische Unbedarftheit vieler Nutzer zum Vorteil machen und Schritte, die von einem Überwachungssystem als verdächtig eingestuft werden würden, vom Anwender ausführen lassen.

Die hier erkannten Probleme können jedoch nicht nur der Unbedarftheit vieler Anwender zugeschrieben werden. Neben der Eigenverantwortung der Nutzer besteht – wie bereits beschrieben – auch eine Verantwortung der Behörden, für die IT-Sicherheit zu sorgen. Dazu gehört auch, Mitarbeiter in die Lage zu versetzen, ein System sicher zu verwenden. Wie diese Aufgaben umgesetzt werden sollen, wird meist jedoch gar nicht festgehalten. Insbesondere bei der menschlichen Komponente der IT-Sicherheit herrscht oftmals Unverständnis über elementare Konzepte der IT-Sicherheit.⁵⁴ Damit sind weniger fehlende Fertigkeiten in Bezug auf technische Lösungen gemeint, sondern viel mehr eine fehlende Einsicht in die Bedeutung des Themas. Schlecht oder nicht geschulte Behördenleiter, Richter, Staatsanwälte und sonstige Justizbedienstete können auch eine ablehnende Haltung gegenüber IT-Sicherheitsmaßnahmen einnehmen. Insofern ist es bemerkenswert, dass Mitarbeiterschulungen zur IT-Sicherheit in der Justiz bisher nicht flächendeckend etabliert scheinen. Fehlt die Einsicht von Verantwortlichen und Mitarbeitern, verliert auch ein gutes IT-Sicherheitskonzept seine Wirkung, da die geplanten Maßnahmen nicht umgesetzt werden.⁵⁵

Zu den elementaren Prinzipien eines erfolgreichen IT-Sicherheitskonzepts zählt u.a. das Thema IT-Sicherheit als fortlaufenden Prozess zu verstehen. IT-Sicherheit ist kein statischer Zustand, der, einmal erreicht, dauerhaft fortbesteht, sondern ein Prozess, der ständigen Anpassungen unterworfen ist. So wie sich Angriffsszenarien ständig ändern und Angreifer ihre Methoden weiterentwickeln, so werden auch Verteidigungsstrategien laufend angepasst und Änderungen in der Strategie müssen umgesetzt werden. Deutlich wird dies beispielsweise an veralteten Vorstellungen über die Sicherheit von Passwörtern, bei denen sich die Empfehlungen mittlerweile quasi um 180 Grad gewendet haben.⁵⁶ Wurde noch vor einigen Jahren ein regelmäßiger Wechsel aller Passwörter und eine möglichst zufällige Kombination aus Zeichen empfohlen, wird heute ein Wechsel nur noch im Falle einer Kompromittierung bzw. nach Neueinrichtung als notwendig erachtet. Auch langen Passwörtern, die aus mehreren Wörtern bestehen, wird u.a. wegen der besseren Merkbarkeit der Vorzug gegenüber zufälligen Zeichenketten gegeben. Das BSI verweist für das IT-Sicherheitsmanagement auf den sogenannten PDCA-Zyklus.⁵⁷ Der PDCA-Zyklus beschreibt den Sicherheitsprozess dabei als vierstufigen Lebenszyklus mit den Stufen Plan (P, Planung), Do (D, Umsetzung), Check (C, Erfolgskontrolle) und Act (A, Verbesserung). Besonderen Wert wird hierbei auf die Punkte Erfolgskontrolle (C) und daraus resultierenden Verbesserungen (A) gelegt. Ohne regelmäßige Überprüfung kann die Wirksamkeit der technischen und organisatorischen Maßnahmen zum Schutz der IT-Systeme auf Dauer nicht sinnvoll sichergestellt werden.⁵⁸

Das bereits oben angesprochene Grundproblem mangelnder Einsicht in das Thema IT-Sicherheit kann auch mit mangelhafter Kommunikation zusammenhängen: In der Justiz werden Mitarbeiter oftmals noch viel zu wenig in die Thematik IT-Sicherheit eingebunden. Abgesehen von den IT-Abteilungen wird das Thema in der Realität eher als für die eigene Arbeit irrelevant wahrgenommen. Für ein funktionierendes IT-Sicherheitskonzept ist es jedoch essentiell, dass alle Mitarbeiter, ob im IT-Bereich tätig oder nicht, mit den Grundlagen der IT-Sicherheit vertraut sind.⁵⁹ Jede Kette ist nur so stark wie ihr schwächstes Glied und mit der Omnipräsenz von vernetzten Computerarbeitsplätzen kann jeder Mitarbeiter durch eine unbedachte Aktion einen IT-Sicherheitsvorfall auslösen. Breit angelegte Schulungen sensibilisieren die Mitarbeiter und befähigen sie, IT-Sicherheit umsetzen zu können.⁶⁰ Aber auch unabhängig von Schulungen muss deutlich werden, dass das Thema IT-Sicherheit auf jeder Ebene und für jeden Mitarbeiter relevant ist. Die Einrichtung von IT-Abteilungen, Informationssicherheitsbeauftragten und Datenschutzbeauftragten bedeutet nicht, dass das Thema IT-Sicherheit dorthin abgeschoben werden kann. Die besten IT-Sicherheitsexperten sind machtlos, wenn der betroffene Mitarbeiter die Grundlagen der IT-Sicherheit nicht versteht und sich darüber hinwegsetzt. Doch auch für die Kommunikation im Schadensfall gilt, dass alle Mitarbeiter sensibilisiert werden müssen. Gesetzliche Meldepflichten können nicht eingehalten werden, wenn den Verantwortlichen nicht bewusst ist, wann eine solche Meldepflicht eintritt und wem gegenüber eine Meldung zu erfolgen hat.

Insgesamt muss festgehalten werden, dass bekannte Probleme bei der IT-Sicherheit in der Justiz immer wiederzukehren scheinen, obwohl technische und organisatorische Maßnahmen existieren und eine gesetzliche Pflicht zur Umsetzung dieser besteht. Vor diesem Hintergrund muss der bundesdeutschen Justiz ein eher schlechtes Zeugnis ausgestellt werden. Weitere erfolgreiche Angriffe sind zu befürchten. Um dies zu vermeiden sind nicht nur IT-Sicherheitskonzepte sondern auch deren Umsetzung notwendig. Inwieweit die Eigenverantwortung der Gerichte insbesondere auch im Hinblick auf die datenschutzrechtliche Selbstkontrolle auf den Prüfstand gehört oder ein IT-Sicherheitsgesetz für die Justiz erforderlich ist, muss die Zukunft zeigen.