5.2 Wer soll Verantwortung übernehmen? Und wie?

Verantwortung ist der „Schwarze Peter“, wenn es um Sicherheit im Internet geht: Niemand möchte ihn haben und jeder reicht ihn weiter. Bei einigen bleibt er länger haften, während andere ihn gar nicht erst annehmen.

Entscheider im Bereich der Wirtschaft sind im Vergleich zu Vertretern aller anderen Entscheider-Gruppen mit der Zuweisung von Verantwortung für Sicherheit im Internet deutlich zurückhaltender. Bereits in der qualitativen Vorstudie wurde deutlich, dass diese Gruppe generelle Vorbehalte hat, für das Internet „Verantwortlichkeiten zuzuordnen“. Das Internet lässt sich aus ihrer Sicht nur begrenzt von ausgewählten Akteuren steuern und ist keine „Aufgabe“, die man wahrnehmen kann. Entsprechend sind 74 Prozent der Entscheider aus der Wirtschaft der Meinung, dass für Datenschutz jeder selbst verantwortlich ist; diese Auffassung teilen 63 Prozent aus der Politik und nur 52 Prozent aus Wissenschaft und Forschung.

Politische Entscheider und Parteien werden lediglich bedingt in der Verantwortung gesehen. Der vertiefende Blick in die Segmente zeigt, dass vor allem Digital Natives unter den Wirtschaftsvertretern gerade diesen Akteuren deutlich weniger Verantwortung zuschreiben als die Gesamtheit der Entscheider. Dieser Unterschied verstärkt sich noch einmal, betrachtet man bei den Wirtschaftsvertretern innerhalb der Digital Natives die Gruppe der Digital Souveränen: Deutlich weniger Verantwortung wird bei Politikern, Datenschützern und der Polizei gesehen, im Gegenzug wird der Bevölkerung jedoch deutlich mehr Verantwortung zugeordnet (89 Prozent vs. 82 Prozent in der Gesamtheit der Entscheider). Wirtschaftsvertreter sehen insgesamt in geringerem Ausmaß eine Überforderung der Nutzer, sondern unterstellen häufig Naivität: Schutzbedürftigkeit gilt vielen als Ausrede.

„Es gibt natürlich eine Gruppe von Menschen, die auch diesem Leitbild des dümmsten anzunehmenden Users entsprechen und die auch diesem Verbraucherschutz-Leitbild entsprechen, wonach man etwa nach dem damaligen Haustür-Widerrufsgesetz die Leute davor schützen musste, dass sie an der Haustür ein Zeitschriften-Abo oder einen Staubsauger erwerben. Als ob sie als Volljährige nicht mündig genug wären, die Tür zuzuknallen, nach dem Motto: ‚Nein danke, ich brauche nichts‘.“

„Es gibt Mittel und Wege, sich zu schützen, und wenn die Leute diese Regeln nicht lernen, dann sind sie natürlich anfälliger, genauso wie wenn Sie mit 100-Euro-Scheinen in der Markthalle am Samstagmorgen rumlaufen, so dass jeder sie sieht und schnell zugreifen kann. […] Und dieses permanente Geweine, die Bösen wollen mir was und die Technologie verstehe ich nicht und ich bin überfordert usw., das ist alles eine Ausrede.“

Politiker sind hingegen stärker davon überzeugt, dass der Nutzer vieles im Internet nicht überblicken kann und daher Schutz braucht (67 Prozent vs. 54 Prozent bei den Entscheidern in der Wirtschaft). Politische Entscheider sehen es vor allem als notwendig an, die Schwelle auszuloten, ab wann die Nutzer geschützt werden müssen; denn auch sie übertragen der Bevölkerung ein hohes Maß an Eigenverantwortung, wie Aussagen aus der qualitativen Untersuchung verdeutlichen:

„Erst mal ist jeder Nutzer selbst für sich verantwortlich, auch die Unternehmen. Das können wir nicht abchecken. Wo wir einen staatlichen Handlungsbedarf sehen ist da, wo Nutzer überfordert sind.“

„Und da kann der Staat was tun, indem er die Qualität von Online-Diensten absichert und sagt: Dieses Unternehmen finden wir gut. Das ist für die Nutzer gut und für die Wirtschaft ist es total toll, weil das dann ein Wettbewerbsvorteil ist.“

„Nur da, wo er [der Nutzer] sich selbst nicht mehr schützen kann, da ist er schutzbedürftig. Und da sehe ich zunächst mal den verpflichtet, der ihm irgendwie etwas anbietet. Also wenn sie ein Auto kaufen, ist meiner Meinung nach zunächst auch erst einmal Ihr Autohersteller verpflichtet, dass das Auto technisch so auf dem Stand ist, denn Sie können das selbst nicht beurteilen. Da ist eine Schutzbedürftigkeit.“

Die Bevölkerung sieht sich nur begrenzt in der Verantwortung

Die Entscheider fordern die Eigenverantwortung der Bürger in hohem Maße ein: 73 Prozent sehen den Nutzer in der Pflicht, sich um die Sicherheit persönlicher Daten im Netz selbst zu kümmern. Zwar ist auch die Bevölkerung mehrheitlich dieser Ansicht, jedoch stimmen dieser Aussage nur 65 Prozent zu.

Die Übernahme von Eigenverantwortung hängt dabei mit der Selbsteinschätzung der eigenen Internet-Kompetenz zusammen. Wie gezeigt wurde, schätzen sich Entscheider als überwiegend erfahren im Umgang mit dem Internet ein, während sich deutlich mehr Menschen in der Bevölkerung als Anfänger im Internet einordnen. Gerade Internet-Experten sehen sich dabei eher in der Lage, Sicherheitsrisiken im Netz richtig einzuschätzen und entsprechend zu reagieren.

Entsprechend fühlen sich die Entscheider zu 68 Prozent in der Lage, Sicherheitsrisiken richtig zu bewerten, in der Bevölkerung aber nur 50 Prozent. Zudem bekunden in der Bevölkerung 44 Prozent, dass ihnen Informationen fehlen, was sie selbst für den Schutz ihrer Daten im Internet tun können. Darüber hinaus sind die Nutzer auf bestimmte Sicherheitsstrukturen und Angebote angewiesen, auf die sie ein Stück weit „blind“ vertrauen müssen. Dies unterstreicht folgendes Zitat aus der DIVSI Milieu-Studie:

„Datensicherheit bedeutet mir schon recht viel. Nur, die Datensicherheit muss mir ja irgendeiner geben, die kann ich mir ja nicht selbst machen. Ich brauche zum Beispiel den Norton und verschiedene andere, die für mich die Datensicherheit übernommen haben.“

Die Haftung für Schäden wird von Entscheidern und von der Bevölkerung überwiegend bei den Anbietern und Dienstleistern gesehen

 Wie soll Verantwortung übernommen werden?

Verantwortung für Sicherheit im Internet kann aus Sicht der Entscheider auf unterschiedlichen Wegen gelingen: durch Prüfung und Vorsicht bei Online-Anwendungen (Nutzer), durch Haftung (Unternehmen/Anbieter, Nutzer) oder durch Regulierungsmaßnahmen (Politik). Neben der „mündigen“ Internet-Nutzung durch aufgeklärte Bürger wurde von den Entscheidern in der qualitativen Vorstudie vor allem die Frage nach Regulierung aufgebracht, da es hier offenkundig erhebliche Differenzen zwischen den Akteuren gibt. Insbesondere Wirtschaft und Politik zeigen hier teilweise diametral entgegengesetzte Ansichten. Beispielsweise sind 40 Prozent der Wirtschaftsvertreter überzeugt davon, dass das Internet ein freies Medium ist, das unter keinen Umständen reglementiert werden sollte, während dies nur 23 Prozent der Entscheider in der Politik so sehen.

„Und darauf zu bestehen, dass jetzt in Zukunft bei jedem Kaufvorgang ein mindestens 50 cm breiter und rot blinkender Button stehen muss, auf dem draufsteht ‚Wenn Sie hier draufdrücken, zahlen Sie tatsächlich 14,50 Euro für die von Ihnen gerade bestellte Leistung‘. Diese Button-Diskussion wird ja gerade geführt. Das ist genau das, eine Überregulierung. Ich gehe davon aus, dass tatsächlich die meisten Menschen, in dem Moment in dem sie das tun, wissen was sie tun und viele dann hinterher jammern und Katzenjammer haben. Aber das kann keine gesellschaftliche Aufgabe sein, menschliche Dummheit möglichst auszuschließen.“

Entscheider aus der Wirtschaft befürworten daher Selbstregulierung deutlich vor staatlicher Regulierung (60 Prozent). Dass auch die Politiker hier zur Hälfte zustimmen (50 Prozent) zeigt, dass es sich bei dieser Frage für sie nicht um eine Entscheidung für das eine oder andere handelt. Auch in der qualitativen Studie konnte festgestellt werden, dass Politiker staatliche Regulierung häufig als „ultima ratio“ betrachten. Sie halten nicht die Selbstregulierung an sich für ungeeignet, sondern sind eher von der empirischen Realität des Konzepts ernüchtert: Selbstregulierung klingt gut, funktioniert aber nicht.

„Das würde ich sehr differenziert sehen. Ich würde nicht per se sagen, Selbstregulierung ist besser. Selbstregulierung ist dann besser, wenn sie funktioniert. Aber sie neigt natürlich dazu, dass sie dann nur so tut als ob.“

„Selbstregulierung hat noch nie funktioniert. Das ist eine Einbildung. Also alle Codes of Conduct, die ich mir mit dem Fokus auf Sicherheit, aber auch auf E-Commerce und E-Government in meinem Berufsleben angeguckt habe, haben alle nur den Minimalstandard staatlichen Rechts oder internationalen Rechts in einer anderen Sprache wiedergegeben. Ich kenne keinen Code of Conduct, in dem steht: Wer sich auf unseren Code of Conduct verpflichtet, macht mehr, als das staatliche Recht fordert. Funktioniert nicht.“

Den Wirtschaftsvertretern ist im Vergleich zu den Entscheidern in der Politik deutlich weniger wichtig, dass der Staat aktiv für Sicherheit sorgt (70 Prozent vs. 84 Prozent), auch wenn dieser Wert insgesamt recht hoch ist. Die qualitative Studie zeigte, dass Unternehmen hierbei vorrangig an die Sicherheit der eigenen Geschäftsmodelle denken (z. B. Sicherheit von Online-Finanztransaktionen; Urheber-/Markenrechtsverletzungen, sonstige Betrugsfälle etc.). Dennoch gehen sie in der Mehrheit davon aus, dass der Staat vor dem Hintergrund eines global vernetzten Internets keine verbindlichen Rechtsgrundlagen mehr schaffen kann (53 Prozent); die Politiker sind hier etwas weniger pessimistisch: „Nur“ 43 Prozent halten dies für nicht möglich.

Andere Entscheider-Gruppen beobachten aufmerksam den Disput zwischen Wirtschaft und Politik in ihrem Ausloten von Freiheit und Kontrolle. Wissenschaft und Forschung sowie Zivilgesellschaft fordern hierbei überdurchschnittlich stark – trotz aller Betonung von individueller Medienkompetenz – einen Rechtsrahmen, dessen Verantwortung in der Hand des Staates liegt (Zustimmung Wissenschaft und Forschung 88 Prozent vs. 79 Prozent in der Gesamtheit der Entscheider). Aus ihrer Sicht kann man dem Nutzer nur Verantwortung zumuten, wenn der verfassungsrechtliche Rahmen hierfür besteht.

 „Da ist der Staat erst mal, oder sind öffentliche Institutionen gefordert, entsprechend den juristischen Rahmen auch deutlich zu machen. Da über Selbstverpflichtung zu reden, wäre, glaube ich, ziemlich naiv.“

„Denn als Schlagwort kann man auch sagen, Selbstregulierung ersetzt Normen nicht. Normen müssen die Gesellschaft und der Staat setzen.“

„Es gibt die regulatorische Verantwortung des Staates. Die ist sogar gesellschaftspolitisch oder von mir aus sogar verfassungsrechtlich begründet. Der Staat hat eine Schutzpflicht dafür zu sorgen, dass die Bürger sicher kommunizieren können.“

Dass für Schäden haftet, wer sie verursacht, wird mit überwiegender Mehrheit von allen Entscheidern so gesehen – auch aus der Wirtschaft. Uneinig sind sich die Entscheider allerdings in der Frage, ob auch der Nutzer persönlich haftbar gemacht werden sollte, wenn sein Rechner nicht ausreichend geschützt ist. Während Wirtschaftsvertreter zu 46 Prozent der Ansicht sind, dass der Nutzer haften sollte, sehen dies andere Akteure deutlich seltener (Politik 36 Prozent, Zivilgesellschaft 32 Prozent, Wissenschaft und Forschung 25 Prozent).