WEBVTT NOTE Podcast: Logbuch:Netzpolitik Episode: LNP486 Das fünfte Element Publishing Date: 2024-03-14T13:01:22+01:00 Podcast URL: https://logbuch-netzpolitik.de Episode URL: https://logbuch-netzpolitik.de/lnp486-das-fuenfte-element 00:00:00.005 --> 00:00:01.405 Guten Morgen Thomas. 00:00:01.965 --> 00:00:02.865 Guten Morgen Tim. 00:00:03.205 --> 00:00:05.165 Sag mal, wie ist eigentlich das Wetter in Brüssel? 00:00:05.505 --> 00:00:08.485 Das muss noch abgestimmt werden. Wir haben noch kein Tredo-Gergebnis. 00:00:29.105 --> 00:00:35.765 Logbuch Netzpolitik Nummer 486 vom 13. März 2024. 2024. 00:00:37.745 --> 00:00:44.025 Und ja, den Linus, den habe ich mal kurz weggeschickt, damit wir hier uns mal 00:00:44.025 --> 00:00:46.205 um die seriösen Themen kümmern können. 00:00:47.565 --> 00:00:51.185 Und begrüßen natürlich erstmal Thomas. Habt ihr schon gehört? Hallo Thomas. 00:00:51.285 --> 00:00:52.205 Hallo. Genau. 00:00:52.445 --> 00:00:58.565 Und heute haben wir eine große Runde, nämlich eine große EU-Runde und begrüßen 00:00:58.565 --> 00:01:01.025 außerdem noch den Ralf, Ralf Benrath. Hallo. 00:01:01.705 --> 00:01:01.905 Hallo. 00:01:01.905 --> 00:01:07.025 Hallo, du warst ja schon mal bei uns und ganz frisch neu mit dabei, 00:01:07.265 --> 00:01:09.745 grüße ich auch noch die Annika, hallo. 00:01:10.865 --> 00:01:11.825 Hallo, servus. 00:01:13.505 --> 00:01:18.685 Ja, Annika, Annika Zinke, fangen wir doch mal mit dir kurz an. 00:01:18.905 --> 00:01:25.225 Stell dich doch mal bitte kurz vor, dass wir mal wissen, was du so machst und was dich zu uns führt. 00:01:26.525 --> 00:01:29.885 Ja, hallo, freut mich sehr dabei zu sein. Genau, also ich bin Annika, 00:01:29.985 --> 00:01:31.385 ich komme ursprünglich aus Wien. 00:01:31.405 --> 00:01:35.145 Also jetzt haben wir heute zwei Quoten Österreicher quasi im Podcast. 00:01:36.025 --> 00:01:39.545 Das kommt wahrscheinlich auch nicht so oft vor. Genau, ich war ursprünglich 00:01:39.545 --> 00:01:44.385 Journalistin in Wien und bin dann über Umwege in Brüssel gelandet. 00:01:44.385 --> 00:01:50.885 War dann bei Alexandra Gese als Praktikantin im Office und habe dort auch begonnen, 00:01:50.885 --> 00:01:52.465 an Digital Services Act zu arbeiten. 00:01:52.465 --> 00:01:58.425 Und bin dann in die Fraktion gewechselt, vor zweieinhalb Jahren in der Fraktion 00:01:58.425 --> 00:02:04.365 der Grünen und war dort zuerst Beraterin für horizontale Digital-Koordinierung. 00:02:04.625 --> 00:02:08.565 Das heißt quasi über die verschiedenen Ausschüsse übergreifend alles, 00:02:08.625 --> 00:02:10.345 was Digitalpolitik trifft, zu 00:02:10.345 --> 00:02:14.965 koordinieren und im Rahmen dessen auch recht stark KI-Gesetz gearbeitet, 00:02:15.265 --> 00:02:18.905 weil das natürlich über sehr viele verschiedene Ausschüsse drübergegangen ist, 00:02:18.905 --> 00:02:23.305 weil das ein Thema ist, das nicht unbedingt in einen Ausschuss gut reinpasst. 00:02:24.045 --> 00:02:28.425 Und bin seit gut einem Jahr jetzt im Binnenmarktausschuss, was einer der zwei 00:02:28.425 --> 00:02:32.705 federführenden Ausschüsse im KI-Gesetz auch ist, über das wir heute noch sprechen werden. 00:02:33.285 --> 00:02:36.705 Genau, und habe aber unter anderem auch an anderen Files gearbeitet, 00:02:36.705 --> 00:02:41.905 wie zum Beispiel im European Media Freedom Act, der heute auch im Plenum abgestimmt wurde. 00:02:42.105 --> 00:02:44.865 Im Cyber Resilience Act habe ich auch ein bisschen mitgearbeitet. 00:02:45.145 --> 00:02:49.225 Genau, also alles, was quasi Digitalpolitik betrifft und Binnenmarkt irgendwie 00:02:49.225 --> 00:02:52.045 betrifft, fällt in meinen Ressort. 00:02:52.977 --> 00:02:56.557 Was war denn so uninteressant am Journalismus, dass du die Politik gewechselt bist? 00:02:57.897 --> 00:03:02.817 Es war nicht unbedingt uninteressant, aber zum einen, wie es für viel bewusst 00:03:02.817 --> 00:03:05.957 ist, ist der Journalismus ein recht prekäres Arbeitsumfeld. 00:03:07.457 --> 00:03:10.837 Das war also einer der Hauptgründe. Und der andere Grund war auch, 00:03:10.937 --> 00:03:13.277 dass dadurch, dass wir sehr viel online gearbeitet haben, 00:03:13.457 --> 00:03:18.177 ich großes Interesse daran hatte, besser nachzuvollziehen, beziehungsweise mehr 00:03:18.177 --> 00:03:21.077 daran zu arbeiten, wie Plattformen eigentlich Inhalte verbreiten, 00:03:21.097 --> 00:03:25.517 verbreiten, mehr Richtung eben Empfehlungsalgorithmen zu arbeiten. 00:03:25.857 --> 00:03:28.337 Und deswegen habe ich dann auch, ja, war ich sehr interessiert, 00:03:28.337 --> 00:03:31.597 am Digital Services Act zu arbeiten, habe dazu auch meine zwei Masterarbeiten geschrieben. 00:03:32.597 --> 00:03:36.717 Also die Digitalpolitik hat mich im Rahmen meiner journalistischen Karriere 00:03:36.717 --> 00:03:39.917 quasi immer mehr begleitet, sodass ich dann so interessiert daran war, 00:03:39.997 --> 00:03:42.197 dass ich mir dachte, okay, ich möchte hauptberuflich daran arbeiten. 00:03:42.477 --> 00:03:44.457 Okay. Masterarbeit in was? 00:03:46.057 --> 00:03:50.417 Also es waren zwei zum Digital Services Act, weil ich habe dann schon nicht genug davon bekommen. 00:03:51.097 --> 00:03:55.377 Also beim einen ging es darum, wie Initiativberichte im EU-Parlament, 00:03:55.417 --> 00:03:59.537 ob die eine Auswirkung auf die Kommissionsvorschläge haben können. 00:03:59.917 --> 00:04:03.017 Und das habe ich im Rahmen des Digital Services Act gemacht. 00:04:03.277 --> 00:04:08.217 Und bei dem anderen ging es mehr um Empfehlungsalgorithmen und wie die Digital 00:04:08.217 --> 00:04:10.037 Services Act reguliert werden. 00:04:10.317 --> 00:04:12.277 Und das war dann für Politikwissenschaft? 00:04:12.797 --> 00:04:15.697 Genau, Politikwissenschaften und internationale Beziehungen. 00:04:16.297 --> 00:04:16.737 Okay. 00:04:17.697 --> 00:04:21.617 Wir haben heute ja sehr viele EU-Themen. Da können wir gleich einsteigen. 00:04:21.637 --> 00:04:25.197 Ein Initiativbericht, weil das ist auch ein Begriff, der gerade gefallen ist. 00:04:25.277 --> 00:04:29.457 Das sind einfach nicht bindende Resolutionen, könnte man sagen, 00:04:29.577 --> 00:04:31.057 die das Parlament erlässt. 00:04:31.197 --> 00:04:35.817 Also das sind fast die einzige Sache, die das Europaparlament von sich aus machen 00:04:35.817 --> 00:04:41.057 kann und initiieren kann, die halt zur Meinungsbildung dienen sollen. 00:04:41.277 --> 00:04:44.797 Was hat denn deine Masterarbeit ergeben? Haben sie einen Impact gehabt? 00:04:46.037 --> 00:04:49.217 Genau, es ist so, dass das Parlament ja kein Vorschlagsrecht hat, 00:04:49.297 --> 00:04:52.197 im Gegensatz zur Kommission, die die Gesetze ja vorschlagen darf. 00:04:52.557 --> 00:04:55.617 Und von allein hat am Anfang ihres Mandats 00:04:55.617 --> 00:04:59.537 angekündigt, dass sie die Initiativberichte mehr ernst nehmen wird. 00:05:00.177 --> 00:05:05.137 Und das, was meine Forschung ergeben hat, ist, dass es zwar... 00:05:06.727 --> 00:05:11.807 In der Theorie nicht übernommen werden muss, in der Praxis es aber schon der 00:05:11.807 --> 00:05:18.027 Kommission etwas bringt, wenn die Mehrheiten in den Initiativberichten geformt 00:05:18.027 --> 00:05:20.787 werden, auch berücksichtigt werden im Vorschlag. 00:05:21.367 --> 00:05:24.787 Das heißt natürlich, wenn man möchte, dass der Vorschlag in irgendeiner Weise 00:05:24.787 --> 00:05:29.147 Erfolg hat, ist es nicht dumm, sich anzusehen, wie Mehrheiten im Parlament gebildet werden. 00:05:29.327 --> 00:05:33.447 Und natürlich, wenn das Parlament dann genau zu einem bestimmten Bereich etwas 00:05:33.447 --> 00:05:35.967 veröffentlicht, dann schon einen Einfluss. 00:05:36.167 --> 00:05:39.967 Aber grundsätzlich ist es halt schon so, dass viele von den Initiativberichten 00:05:39.967 --> 00:05:44.287 auch nicht, vor allem Initiativberichte, die jetzt nicht unbedingt auf ein Gesetz 00:05:44.287 --> 00:05:48.527 spezifisch ausgerichtet sind, nicht unbedingt den Erfolg haben, 00:05:48.687 --> 00:05:50.647 den sich manche Politiker inne erhoffen. 00:05:50.947 --> 00:05:53.727 Also man muss da schon auch ein bisschen differenzieren und es ist nicht so, 00:05:53.747 --> 00:05:56.987 dass jeder Initiativbericht mit dem Strichpunkt übernommen worden ist. 00:05:57.107 --> 00:06:00.647 Aber gerade beim Digital Services Act, was ja auch ein sehr großes Gesetz war, 00:06:00.807 --> 00:06:04.367 war das ein bisschen anders, würde ich sagen. 00:06:04.487 --> 00:06:08.507 Aber vielleicht mal greife ich noch, was zu sagen, weil Ralf schon länger im Parlament ist als ich. 00:06:10.587 --> 00:06:14.687 Ja, genau, Ralf, sag doch mal was. Du darfst dich auch noch mal vorstellen. 00:06:16.227 --> 00:06:20.567 Ja, danke auch noch mal für die Einladung. Ich bin, genau wie Annika, 00:06:20.707 --> 00:06:23.787 Fraktionsreferent der Grünen-EFA-Fraktion im Europäischen Parlament. 00:06:24.067 --> 00:06:27.967 Ich bin für den Ausschuss für Bürgerliche Freiheiten, Justiz und Inneres zuständig 00:06:27.967 --> 00:06:31.927 und mache da vor allem Datenschutz. 00:06:32.007 --> 00:06:34.847 Das ist der Ausschuss, der auch federführend für Datenschutz zuständig ist. 00:06:35.427 --> 00:06:38.627 Nebenbei aber alles, was an anderen Digitalsachen so anfällt, 00:06:38.727 --> 00:06:44.007 inklusive auch Polizeiinformationsaustausch, polizeiliche und justizielle Zusammenarbeit und solche Sachen. 00:06:44.467 --> 00:06:49.627 Ich mache aber inzwischen relativ viel auch ausschussüberschreitende Arbeit, 00:06:49.747 --> 00:06:52.307 weil jetzt inzwischen die Kollegen alle mitgeschnitten haben, 00:06:52.407 --> 00:06:54.267 dass ich hier der Onkel Ralf von der DSGVO bin. 00:06:54.387 --> 00:06:57.087 Ich habe früher für den Berichterstatter Jan-Philipp Albrecht bearbeitet, 00:06:57.127 --> 00:07:00.427 als das Ding verhandelt wurde und habe seitdem sogar einen IMDb-Eintrag. 00:07:02.127 --> 00:07:08.127 Und jetzt kommen die Kollegen immer und haben irgendwas zu europäischer Sozialversicherungskarte 00:07:08.127 --> 00:07:14.467 im Beschäftigungsausschuss oder zu Veröffentlichung von Agrarzuschüssen im Agrarausschuss 00:07:14.467 --> 00:07:16.207 oder zu irgendwelchen anderen Themen, 00:07:16.347 --> 00:07:18.567 wo es irgendwie dann auch Datenschutzfragen plötzlich gibt. 00:07:18.567 --> 00:07:23.587 Ich gehe jetzt zum Financial Information Access Geschichte, Finanzdatenraum 00:07:23.587 --> 00:07:25.887 und komme immer, Ralf, kannst du hier mal drüber gucken? 00:07:27.187 --> 00:07:30.447 Und das ist ganz, bis zur Fischerei ging das schon. Das ist irgendwie ganz lustig 00:07:30.447 --> 00:07:32.487 manchmal. Dann lernt man auch viel über den Tellerrand hinaus. 00:07:33.607 --> 00:07:36.067 Ja, und ich habe jetzt die Freude gehabt, mit Arne quasi die letzten, 00:07:36.147 --> 00:07:39.587 weiß nicht, drei Jahre oder so zusammenzuarbeiten am KI-Gesetz, 00:07:39.627 --> 00:07:42.507 am Artificial Intelligence Act, weil... 00:07:44.128 --> 00:07:47.028 Ja, da kommen wir später zu. Die Details dazu spreche ich mir für nachher. 00:07:47.148 --> 00:07:51.088 Aber warum das ein gemeinsames Ausschussverfahren mit dem Binnenmarkt und dem 00:07:51.088 --> 00:07:53.328 Innenausschuss war, das war eine lustige Geschichte. 00:07:54.808 --> 00:07:56.588 Es gibt noch Axel Voss-Witze später. 00:07:58.488 --> 00:08:03.368 Das sind immer die besten. Und hast du auch schon einen Initiativbericht mal angestoßen? 00:08:05.168 --> 00:08:06.608 Angestoßen selber nicht. 00:08:33.648 --> 00:08:40.028 Verdoppelt. Wie viel davon jetzt in der KI- Verordnung im IAI-Act gelandet ist, 00:08:41.188 --> 00:08:44.368 ich glaube ehrlich gesagt gar nicht so viel, weil die Kommission da einen sehr 00:08:44.368 --> 00:08:47.568 strikten Rahmen gesetzt hat, aber da gehen wir später noch an die Details. 00:08:48.388 --> 00:08:51.868 Nur mal um so ein Gefühl dafür zu bekommen, weil ich habe diesen Begriff Initiativbericht 00:08:51.868 --> 00:08:57.008 ehrlich gesagt noch nie gehört, aber wie viele werden denn da so pro Jahr von gemacht? 00:08:57.188 --> 00:09:00.608 Ist das so ab und zu mal einer oder passiert das am laufenden Meter? 00:09:01.188 --> 00:09:04.468 Nee, das passiert viel viel am Anfang der Legislaturperiode, 00:09:04.488 --> 00:09:08.448 wenn die neue Kommission erst anfängt, ihr Arbeitsprogramm abzuarbeiten und 00:09:08.448 --> 00:09:10.908 bis dann die ersten Gesetzesvorschläge kommen, dauert es meistens eine Weile 00:09:10.908 --> 00:09:14.588 und dann sind die Leute noch übermotiviert und wollen selber was machen. 00:09:14.868 --> 00:09:16.828 Hast du so Beschäftigungstherapie fürs Parlament? 00:09:16.848 --> 00:09:19.608 So ein bisschen. Die Abgeordneten wollen mal irgendwas sagen, 00:09:19.728 --> 00:09:22.688 ohne dass es gleich ein Gesetz ist und dann schreibt man halt so einen Initiativbericht. 00:09:24.988 --> 00:09:28.188 Das ist quotiert. Das können nicht beliebig viele werden. 00:09:28.368 --> 00:09:31.348 Ich weiß nicht, ob das in allen Ausschüssen so ist. Bei uns im Innenausschuss 00:09:31.348 --> 00:09:34.828 ist es so, dass dass, glaube ich, parallel immer nur sechs gleichzeitig verhandelt werden dürfen? 00:09:36.788 --> 00:09:40.368 Ich glaube, die Kapazität hätten wir gar nicht, sechs gleichzeitig zu verhandeln. 00:09:40.788 --> 00:09:46.488 Also ich glaube, daran scheitert es schon, aber normalerweise kann man die vorschlagen 00:09:46.488 --> 00:09:48.288 und das ist in der Menge begrenzt. 00:09:48.448 --> 00:09:52.528 Aber wir hatten zum Beispiel im Binnenmarktausschuss gegen Ende noch einen sehr erfolgreichen, 00:09:53.288 --> 00:09:57.748 Initiativbericht zu Addictive Design, also Abhängigkeit machendem Design, 00:09:57.748 --> 00:10:01.388 sein, hört sich in Deutsch nicht so gut an, wo wir das Feedback auch von der 00:10:01.388 --> 00:10:03.828 Kommission bekommen haben, dass das eins der Top-Themen ist, 00:10:03.848 --> 00:10:06.928 an dem die jetzt auch für die nächste Legislaturperiode arbeiten. 00:10:07.608 --> 00:10:11.468 Also es kommt auch ein bisschen darauf an, in welcher, ob man quasi so ein bisschen 00:10:11.468 --> 00:10:14.888 das Gefühl hat, in die richtige Richtung quasi zu stechen mit dem Thema. 00:10:15.911 --> 00:10:18.611 Also Initiativberichte sind so ein bisschen strikter reguliert. 00:10:18.651 --> 00:10:22.151 Die müssen von der Konferenz der Fraktionsvorsitzenden bewilligt werden. 00:10:22.371 --> 00:10:25.391 Wie gesagt, es darf nur sechs parallel laufen, zumindest in meinem Ausschuss. 00:10:26.211 --> 00:10:29.511 Andere Ausschüsse können aber noch eine Beteiligung einfordern und dazu noch 00:10:29.511 --> 00:10:32.711 Opinions machen, die dann irgendwie berücksichtigt werden müssen oder auch nicht. 00:10:33.031 --> 00:10:35.591 Das ist ein bisschen mühsam. In meinem Ausschuss ist es eher so, 00:10:35.631 --> 00:10:38.491 wenn wir irgendwie eine Stellungnahme raushauen wollen, dann machen wir eine Resolution. 00:10:39.531 --> 00:10:41.931 Die wird einfacher verhandelt, die muss nicht genehmigt werden. 00:10:42.051 --> 00:10:44.391 Da gibt es auch keine anderen Ausschüsse, die mit reinquatschen wollen. 00:10:44.671 --> 00:10:47.631 Und die wird dann quasi vom Liebeausschuss, also Civil Liberties, 00:10:47.691 --> 00:10:51.411 Justice, Non-Fers, direkt im Plenum getabelt. Und dann ist sie meistens nach 00:10:51.411 --> 00:10:52.151 einem Monat schon durch. 00:10:53.251 --> 00:10:57.951 Verstehe. Es gibt also sozusagen auch noch kleinere Einheiten von Schlussfassungen. 00:10:57.951 --> 00:11:01.571 Ich entdecke nach 15 Jahren hier immer noch Sachen in der Geschäftsordnung, 00:11:01.651 --> 00:11:02.771 die ich bisher noch nicht kannte. 00:11:03.491 --> 00:11:08.531 Na gut, aber wir wollen uns ja heute nicht so sehr mit der Bürokratie an sich beschäftigen, 00:11:08.611 --> 00:11:13.311 sondern mal konkret reinschauen, was derzeit denn eigentlich so alles in der 00:11:13.311 --> 00:11:16.851 Pipeline ist, beziehungsweise jetzt gerade beschlossen worden ist oder unmittelbar 00:11:16.851 --> 00:11:19.951 vor dem Beschluss steht, unter anderem den AI-Act. 00:11:20.051 --> 00:11:23.631 Aber du, Ralf, hast ja noch ein paar andere Themen auch noch, 00:11:23.651 --> 00:11:24.791 die du mitgebracht hast. 00:11:25.691 --> 00:11:28.551 Ja, das ist so ein bisschen eine Digitalwoche hier im Plenum gerade. 00:11:29.831 --> 00:11:32.891 Deswegen ist Annika ja auch gerade in Straßburg, weil gerade Plenarsitzung des 00:11:32.891 --> 00:11:34.511 Europäischen Parlaments in Straßburg ist. 00:11:34.891 --> 00:11:39.051 Und zwei, was heißt kleinere, die nicht so viel Aufsehen erregt haben, 00:11:39.191 --> 00:11:40.731 Sachen sind mir hier noch aufgefallen. 00:11:40.751 --> 00:11:46.771 Das ist einmal die Produkthaftungsrichtlinie, die revidiert wurde und der Cyber Resilience Act. 00:11:47.622 --> 00:11:52.362 Und die führen beide Sachen ein, für die wir damals mit Jan-Philipp Albrecht 00:11:52.362 --> 00:11:55.242 noch und so schon seit teilweise zehn Jahren gekämpft haben. 00:11:55.362 --> 00:11:59.962 Wo man also auch mal schön sehen kann, Politik ist manchmal echt das langsame Bohren dicker Bretter. 00:12:00.542 --> 00:12:04.262 Als wir damals angefangen haben, mit Jan-Philipp Albrecht uns um Produktsicherheit, 00:12:04.302 --> 00:12:08.162 also Quatsch, IT-Sicherheit mal zu kümmern, kam man ziemlich schnell drauf, 00:12:08.282 --> 00:12:11.262 auch natürlich durch Gespräche mit Linus und anderen vom CCC und so. 00:12:11.682 --> 00:12:15.482 Es gibt keine guten Anreizstrukturen bisher für die Hersteller, 00:12:15.542 --> 00:12:17.482 sich ernsthaft um IT-Sicherheit zu kümmern. 00:12:17.622 --> 00:12:20.402 Es gibt keine Produkthaftung für Software, es gibt keine Verpflichtung, 00:12:20.442 --> 00:12:22.062 Sicherheitsupdates zu liefern oder irgendwas. 00:12:22.602 --> 00:12:26.682 Software kommt immer mit dieser allgemeinen Terms of Service zum Anklicken, 00:12:26.722 --> 00:12:28.742 ich akzeptiere die Software so, wie sie ist. 00:12:29.482 --> 00:12:33.362 Und keiner ist verantwortlich. Das hat sich jetzt geändert, nach diesen zehn 00:12:33.362 --> 00:12:35.582 Jahren oder wie lange da andere Leute schon drüber nachgedacht haben. 00:12:35.582 --> 00:12:42.162 Und das eine ist die Product Liability Directive, die Produkthaftungsrichtlinie, 00:12:42.302 --> 00:12:45.742 die gibt es schon ewig, die ist dieses Jahr 39 geworden, 00:12:46.102 --> 00:12:53.062 wurde 1999 mal kurz ein bisschen gänzt, um landwirtschaftliche und Fischereiprodukte mit abzudecken. 00:12:53.062 --> 00:12:57.622 Und sie sagt im Prinzip, wenn du ein schadhaftes Produkt verkaufst und Leute 00:12:57.622 --> 00:13:01.402 nehmen deswegen Schaden daran, das kann auch mentalen Schaden beinhalten, 00:13:01.542 --> 00:13:03.702 dann bist du verantwortlich und 00:13:03.702 --> 00:13:07.402 musst dafür haften und im Zweifelsfall Schadensersatz und sowas zahlen. 00:13:08.322 --> 00:13:12.502 Und jetzt mit der neuen Revision, die gerade gestern angenommen wurde, 00:13:12.582 --> 00:13:15.242 ist endlich auch Produkthaftung für Software mit dabei. 00:13:16.422 --> 00:13:20.042 Das heißt, wenn du eine schadhafte Software in den Markt bringst, 00:13:20.062 --> 00:13:24.042 kommerziell, das ist immer nur kommerziell, dann bist du haftbar. 00:13:24.402 --> 00:13:27.542 Das heißt, damit hast du natürlich jetzt als Hersteller einen starken Anreiz, 00:13:27.542 --> 00:13:29.842 dich mal ernsthaft um IT-Sicherheit zu kümmern. 00:13:30.462 --> 00:13:34.662 Was wichtig ist, da gab es auch zwischendurch immer wieder mal Fragen aus der Community, die, 00:13:35.431 --> 00:13:39.951 Wenn du ein freier Softwareentwickler bist, der nur zu Hause so ein bisschen 00:13:39.951 --> 00:13:42.991 vor sich hin frickelt und das Zeugs irgendwo auf GitHub hochlädt oder so, 00:13:43.131 --> 00:13:46.571 aber das nicht geschäftlich macht, dann bist du nicht in der Verantwortung. 00:13:47.131 --> 00:13:50.731 Wenn jemand jetzt dein freies Softwaremodul nimmt und ein kommerzielles Produkt 00:13:50.731 --> 00:13:54.651 einbaut, dann ist der dafür verantwortlich und nicht du als Entwickler von dem 00:13:54.651 --> 00:13:58.411 kleinen Open-Source-Software-Tool. 00:13:58.891 --> 00:14:00.711 Das war also ganz wichtig, das haben wir da auch gewonnen. 00:14:03.111 --> 00:14:06.491 Was sonst? Ja, ich glaube, das waren so die wesentlichen Elemente. 00:14:06.491 --> 00:14:10.231 Ja, vielleicht bei dem Punkt. Das war auch etwas, das wirklich gerade bei der 00:14:10.231 --> 00:14:12.871 Free Software Foundation Europe ein riesiges Thema war. 00:14:13.071 --> 00:14:18.091 Also in der gesamten Community der freien und offenen Software hat man sich 00:14:18.091 --> 00:14:20.751 da große Sorgen gemacht rund um Cyber Resilience Act. 00:14:20.931 --> 00:14:26.131 Und es ist gut, wenn da jetzt eine Lösung gefunden wurde, die einfach gemeinwohlorientierte, 00:14:26.131 --> 00:14:29.291 nicht kommerzielle Produkte ausnimmt. Und ich frage mich dann immer so, 00:14:29.351 --> 00:14:32.631 wie stabil sind die Definitionen? Ist das wirklich gut abgegrenzt? 00:14:33.171 --> 00:14:37.831 Und de facto, was du damit natürlich dann auch hast, ist, dass die Person, 00:14:37.951 --> 00:14:42.971 die daraus ein Geschäft macht, auf einmal natürlich auch alle etwaige Haftung 00:14:42.971 --> 00:14:45.471 übernimmt und die nicht weitergeben kann an irgendwen. 00:14:45.891 --> 00:14:49.911 Was, glaube ich ja auch, wenn wir so beim ersten drüber nachdenken, 00:14:49.911 --> 00:14:51.931 eine brauchbare Lösung ist. 00:14:52.571 --> 00:14:56.751 Ein anderes Thema, was beim Cyber Resilience Act noch ganz… Thomas. 00:14:56.831 --> 00:14:59.711 Wir waren noch bei der Produkthaftungsrichtlinie. Cyber Resilience Act habe 00:14:59.711 --> 00:15:03.071 ich mir gar nicht vorgestellt. Aber es geht sehr ineinander über. 00:15:04.171 --> 00:15:04.911 All the same. 00:15:05.211 --> 00:15:09.131 Also kurze Anmerkung dazu. Also diese Product Liability Directive, 00:15:09.131 --> 00:15:11.231 die gibt es ja im Prinzip schon. 00:15:11.251 --> 00:15:14.551 Die ist bloß 40 Jahre alt und seitdem nicht wirklich angefasst worden, 00:15:14.631 --> 00:15:15.431 wenn ich das richtig sehe. 00:15:15.911 --> 00:15:20.831 Doch, es wurden 1999 landwirtschaftliche und Fischereiprodukte mit reingetan. 00:15:20.891 --> 00:15:21.171 Aha. 00:15:22.386 --> 00:15:24.126 Deine neue Kernkompetenz sozusagen. 00:15:24.646 --> 00:15:26.266 Aber sonst nichts. Und jetzt die 00:15:26.266 --> 00:15:29.646 große Neuerung ist eben, dass jetzt auch digitale Produkte mit drin sind. 00:15:30.066 --> 00:15:33.106 Ah, okay. Und was heißt das dann konkret? Also ich meine, wenn ich jetzt sozusagen 00:15:33.106 --> 00:15:37.946 Windows benutze und dann mentalen Schaden davon trage, was ich durchaus für 00:15:37.946 --> 00:15:41.786 wahrscheinlich halte, dann kann ich dann sozusagen Bill Gates anrufen und der 00:15:41.786 --> 00:15:42.886 muss mir dann Rente zahlen. 00:15:43.106 --> 00:15:46.066 Naja, wenn dann die entsprechenden Gerichte, wo das wahrscheinlich landen wird, 00:15:46.126 --> 00:15:50.206 entscheiden, dass das Produkt schadhaft war und du deswegen einen mentalen Schaden 00:15:50.206 --> 00:15:51.346 davon getragen hast, dann ja. 00:15:51.646 --> 00:15:52.046 Verstehe. 00:15:52.046 --> 00:15:56.366 Halte ich aber den Fall eher für unwahrscheinlich. Es gibt sozusagen kaputte 00:15:56.366 --> 00:15:58.826 Software, die einfach Sicherheitslücken und ähnliches hat. 00:15:59.146 --> 00:16:05.026 Ja, und das heißt, hat das den Status einer Verordnung? Gilt das sozusagen unmittelbar dann? 00:16:05.286 --> 00:16:08.286 Das ist eine Richtlinie, die muss durch nationales Recht umgesetzt werden. 00:16:08.646 --> 00:16:11.886 Okay, und das heißt, das kann auch noch ein bisschen dauern, sozusagen. 00:16:12.806 --> 00:16:16.306 Ja, da fragst du mal die FDP, wie lange die wieder auf die Bremse treten will. 00:16:18.346 --> 00:16:21.066 Das ist ja hier inzwischen ein Running Gag, hätte, hätte Lieferkette. 00:16:21.066 --> 00:16:26.346 Ja, genau. Okay, gut, aber nehmen wir jetzt mal an, es sei im Sinne des Gesetzes 00:16:26.346 --> 00:16:29.366 in eine Richtlinie überführt worden bereits. 00:16:31.026 --> 00:16:35.026 Kannst du mal so einen typischen Fall aufmachen, den ihr sozusagen bei dem Design 00:16:35.026 --> 00:16:38.786 im Sinn hattet und wie sich das dann äußern könnte konkret? 00:16:40.026 --> 00:16:42.906 Annika, hast du da mehr mit zu tun gehabt? Weil das ja euer Ausschuss war. 00:16:43.686 --> 00:16:46.686 Es war mein Ausschuss, aber es war mein Kollege, der daran gearbeitet hat. 00:16:46.846 --> 00:16:50.646 Aber es ist zum Beispiel jetzt nicht KI, nur um das ganz kurz zu sagen, 00:16:50.826 --> 00:16:55.826 weil für KI war eigentlich ein Schwestergesetz vorgesehen, nämlich die KI-Haftungsrichtlinie. 00:16:56.126 --> 00:17:01.386 Die steckt aber momentan im Justizausschuss fest, da ist der Berichterstatter Axel Voss. 00:17:02.365 --> 00:17:06.185 Also da gab es etwas Ungereimtheiten, was die Ausrichtung des Gesetzes betrifft. 00:17:06.665 --> 00:17:10.665 Aber ja, ich habe nicht in der plattbaren Produkthaftungsrichtlinie gearbeitet. 00:17:10.985 --> 00:17:13.885 Ja, ich habe die jetzt auch nicht im Detail verfolgt. Ich habe vor allem das 00:17:13.885 --> 00:17:16.205 Briefing von unserem Kollegen dazu gelesen. 00:17:16.905 --> 00:17:19.865 Also auch nicht den ganzen Gesetzestext. Aber so ein Beispiel, 00:17:20.005 --> 00:17:24.025 was ich mir jetzt da vorstellen würde, ist, wenn du dir einen Smart Thermostat 00:17:24.025 --> 00:17:25.545 kaufst für deine Heizung. 00:17:25.745 --> 00:17:28.345 Ja, habe ich gerade gemacht. Sehr gut. Viel Spaß. 00:17:29.045 --> 00:17:31.185 Wer klemmt denn bitte sein Haus ans Internet? 00:17:31.965 --> 00:17:33.825 Dann mit dem Internet hat das einfach nichts zu tun. 00:17:34.085 --> 00:17:37.925 Ach so, okay. Aber wenn das Ding sozusagen Internet-Konnektivität hat und sich 00:17:37.925 --> 00:17:41.045 da jemand reinhackt und irgendwie deine Heizung so hoch dreht, 00:17:41.065 --> 00:17:46.105 dass der Boiler kaputt geht oder sowas, dann wäre der Thermostat-Hersteller dafür haftbar. 00:17:46.665 --> 00:17:47.105 Wow. 00:17:47.285 --> 00:17:52.085 Wenn sozusagen dem nachzuweisen ist, dass er hier ein schadhaftes Produkt auf den Markt gebracht hat. 00:17:52.405 --> 00:17:55.385 Aber mit dem Nachweis, das könnte natürlich dann nochmal so ein Ding werden. 00:17:55.385 --> 00:17:59.625 Das muss sich dann erst mal noch zeigen vor den Gerichten, was für Nachweise 00:17:59.625 --> 00:18:00.585 dort erbracht werden müssen. 00:18:00.625 --> 00:18:04.345 Oder gibt es dafür auch dann schon eine Maßgabe, wie das zu erfolgen hat? 00:18:04.845 --> 00:18:08.565 Es gibt bei bestimmten Fällen eine Umkehrung von der Beweislast. 00:18:08.625 --> 00:18:11.185 Die bestimmten Fälle müsste ich aber nachschauen. Aber es gibt Fälle, 00:18:11.265 --> 00:18:14.885 wo es für den Konsumenten sehr schwierig nachzuweisen ist, wo das umgekehrt 00:18:14.885 --> 00:18:19.905 wird und auch in Fällen, wo es eben besonders schwer der Schaden wäre. 00:18:21.245 --> 00:18:25.865 All right, gut. Dann können wir ja auf den Cyber Resilience Act kommen, 00:18:26.025 --> 00:18:28.325 Ralf. Was hat es denn damit auf sich? 00:18:28.765 --> 00:18:33.745 Genau, das ist ein neues Gesetz. Das ist eine Verordnung, gilt also unmittelbar, 00:18:33.865 --> 00:18:36.145 nachdem sie jetzt veröffentlicht wird und dann in Kraft tritt. 00:18:36.705 --> 00:18:40.925 Und da geht es sozusagen nochmal härter wirklich in die Pflicht für Anbieter 00:18:40.925 --> 00:18:46.665 von elektronischen Endgeräten. Das kann auch Software beinhalten oder andere digitale Devices. 00:18:48.365 --> 00:18:51.925 Das ist so ein bisschen ähnlich aufgehängt wie das KI-Gesetz, 00:18:51.925 --> 00:18:55.045 der AI-Act im Rahmen dieses sogenannten New Legislative Framework, 00:18:55.125 --> 00:18:58.725 wo noch so ein ganzer Rattenschwarz von Marktaufsichtsbehörden dranhängt und 00:18:58.725 --> 00:19:03.965 so und am Ende das CE-Label rauskommt, was man so kennt als Label für Produktsicherheit in Europa. Ja. 00:19:05.124 --> 00:19:09.584 Die Hersteller von solchen Produkten, 00:19:09.724 --> 00:19:12.984 also das ist eine relativ allgemein gehaltene Regelung, Artikel 13, 00:19:13.384 --> 00:19:18.764 Obligations of Manufacturers, also Auflagen für Hersteller, die müssen sich 00:19:18.764 --> 00:19:21.444 an die essentiellen, ich weiß immer nicht, was du auf Deutsch hast, 00:19:21.504 --> 00:19:23.684 wir machen alles auf Englisch hier, Essential Requirements, 00:19:24.024 --> 00:19:30.604 essentielle Anforderungen, danke, in Annex 1 halten. 00:19:30.604 --> 00:19:34.024 Und Teil 1 von Antrag 1 ist über Cyber Security. 00:19:34.564 --> 00:19:39.624 Und da steht dann ganz klar drin, Produkte mit digitalen Elementen sollen designt, 00:19:39.624 --> 00:19:44.564 entwickelt und hergestellt werden, sodass sie ein angemessenes Level von Cybersicherheit 00:19:44.564 --> 00:19:47.784 basierend der jeweiligen Risiken liefern. 00:19:48.704 --> 00:19:54.624 Und sie sollen zum Beispiel auf den Markt gebracht werden ohne bekannte Sicherheitslücken. 00:19:54.824 --> 00:19:58.584 Also versteckte Backdoors, die der Hersteller kennt, aber nicht angibt beim 00:19:58.584 --> 00:20:00.724 Verkauf, sind jetzt damit verboten offiziell. 00:20:02.944 --> 00:20:07.744 Sie müssen bei Default einer sicheren Konfiguration ausgeliefert werden. 00:20:09.064 --> 00:20:15.944 Sie müssen Sicherheitsupdates kriegen können. Sie müssen vor ungesichertem Zugriff 00:20:15.944 --> 00:20:19.904 geschützt sein und wenn es einen Zugriff geben sollte, müssen Sie es berichten. 00:20:20.344 --> 00:20:25.644 Und jetzt steht sogar noch drin, Sie müssen die Vertraulichkeit von gespeicherter 00:20:25.644 --> 00:20:27.824 oder übertragener Daten, 00:20:28.564 --> 00:20:33.404 egal ob persönliche Daten oder andere, sicherstellen, unter anderem durch Verschlüsselung, 00:20:33.424 --> 00:20:36.244 Speicher und auch Transit. Ja. 00:20:38.595 --> 00:20:46.535 Und die Sicherheitsupdates müssen mindestens für fünf Jahre bereitgestellt werden. 00:20:46.635 --> 00:20:49.535 Außer das Produkt hat absehbar eine deutlich geringere Lebenszeit, 00:20:49.655 --> 00:20:51.315 dann reicht es auch kürzer. 00:20:52.175 --> 00:20:55.775 Aber mindestens sind erstmal normalerweise fünf Jahre müssen verpflichtende 00:20:55.775 --> 00:20:56.935 Sicherheitsupdates geliefert werden. 00:20:56.955 --> 00:20:59.475 Fünf Jahre ab was? Ab was gerechnet? 00:20:59.655 --> 00:21:02.155 Ab Verkauf. Ab Verkauf. Verstehe ich zumindest so. 00:21:02.395 --> 00:21:05.935 Also das ist wirklich so wie ein Mindesthaltbarkeitsdatum, nur diesmal wirklich 00:21:05.935 --> 00:21:07.775 für Sicherheitsupdates. Genau. 00:21:07.895 --> 00:21:10.715 Und die sagen auch ganz deutlich da, ich glaube in einem Erwägungsgrund, 00:21:10.775 --> 00:21:12.415 ich finde den Teil gerade jetzt nicht mehr sofort, 00:21:12.655 --> 00:21:18.015 wenn klar ist, dass das Gerät eine längere Lebenszeit hat, zum Beispiel Router 00:21:18.015 --> 00:21:21.635 oder andere Sachen, die normalerweise länger laufen als fünf Jahre, 00:21:21.835 --> 00:21:26.755 dann müssen die Sicherheitsupdates auch jetzt für die erwartbare Lebenszeit geliefert werden. 00:21:28.295 --> 00:21:31.475 Was da jetzt noch nicht drin ist, das hatten wir mit Linus damals mal diskutiert 00:21:31.475 --> 00:21:36.255 bei einer Anhörung unserer Fraktion zur IoT-Sicherheit, kurz nach dem WannaCry-Unglück. 00:21:36.795 --> 00:21:39.835 Was passiert, wenn diese Lebenszeit erreicht ist, End of Life, 00:21:40.015 --> 00:21:43.135 und die keine Sicherheitsupdates mehr liefern? Wann müssen sie dann sozusagen 00:21:43.135 --> 00:21:47.575 dem Nutzer es ermöglichen, das Produkt selber up-to-date, wenn zum Beispiel 00:21:47.575 --> 00:21:51.195 die Software unter freie Lizenzen gestellt werden muss oder so. Das ist hier noch offen. 00:21:51.295 --> 00:21:54.475 Das ist nicht geklärt. Du hast einfach nur jetzt mindestens fünf Jahre die Updates. 00:21:55.095 --> 00:21:57.275 Wenn das Produkt absehbar länger hält, dann auch noch länger. 00:21:58.735 --> 00:22:02.435 Ja, und danach kannst du es dann wegschmeißen oder auf eigenes Risiko weiter benutzen. 00:22:03.295 --> 00:22:06.815 Aber das ist wirklich ein ziemlicher Durchbruch, finde ich. Das muss man echt mal anerkennen. 00:22:06.935 --> 00:22:07.815 Das würde ich auch meinen. 00:22:08.775 --> 00:22:12.195 Es war tatsächlich ein Änderungsantrag im Binnenmarktausschuss, 00:22:12.255 --> 00:22:15.415 das unter einer freien Lizenz zu veröffentlichen, wenn es nicht mehr am Markt 00:22:15.415 --> 00:22:17.475 ist. Leider hat es keine Mehrheit bekommen. 00:22:19.295 --> 00:22:23.655 Ja, solche Sachen werden nie verstanden. Aber jetzt mal praktisch gefragt, 00:22:23.735 --> 00:22:28.355 wenn du sagst Mindeststandards bei IT-Sicherheit, so peinliche Dinge wie ungehäschte 00:22:28.355 --> 00:22:31.755 Passwörter, das dürfte es dann nicht mehr geben, oder? 00:22:32.535 --> 00:22:33.275 Nee. Nee. 00:22:34.510 --> 00:22:39.070 Und etwas, an das ich mich auch noch erinnere, wir haben am Anfang an dem Gesetz gearbeitet, 00:22:39.250 --> 00:22:44.310 da gab es ja auch diese Meldung von Sicherheitslücken, wenn ein Hersteller jetzt etwas findet, 00:22:44.450 --> 00:22:49.110 eine Lücke in der eigenen Software oder in den eigenen Geräten, 00:22:49.190 --> 00:22:54.070 dass diese Lücken dann auch an staatlichen Stellen unmittelbar gemeldet werden 00:22:54.070 --> 00:22:59.310 müssen, auch noch bevor die Sicherheitslücke behoben wurde. 00:22:59.310 --> 00:23:05.570 Wo es dann ja auch die Sorge gab, dass dieses Wissen um etwaige Einfallstore 00:23:05.570 --> 00:23:09.450 dann von staatlichen Stellen vielleicht sogar auch missbraucht würde für zum 00:23:09.450 --> 00:23:10.390 Beispiel Staatstreuer. 00:23:11.550 --> 00:23:15.170 Ja, ich habe den Text jetzt nicht vor mir, aber wie ich den Briefing vom Kollegen 00:23:15.170 --> 00:23:21.090 Christian entnehme, gibt es jetzt anscheinend eine neue Stelle bei der EU-IT-Sicherheitsagentur 00:23:21.090 --> 00:23:24.410 Enisa, die genau diese Sicherheitslücken bekommen soll. 00:23:26.110 --> 00:23:29.010 Ja, das war nämlich wirklich ein bisschen problematisch, weil damit natürlich, 00:23:29.070 --> 00:23:33.090 wenn du konkret den Weg, wie deine Software aufgemacht werden kann, 00:23:33.290 --> 00:23:36.010 sofort melden musst, noch bevor du es geschlossen hast. 00:23:36.270 --> 00:23:40.850 Also das widerstößt dann ein bisschen gegen, Sponsor-Predisclosure ist das jetzt 00:23:40.850 --> 00:23:42.670 nicht, aber es öffnet gewisse Gefahren. 00:23:42.990 --> 00:23:45.650 Okay, ob man die bevor man es gepatcht hat schon melden muss, 00:23:45.730 --> 00:23:47.890 weiß ich jetzt nicht. Das müsste man im Detail nochmal nachgucken. 00:23:47.970 --> 00:23:48.690 Das habe ich jetzt nicht vor mir. 00:23:48.690 --> 00:23:51.810 Das war zumindest früher mal ein Problem. Ab wann gelten denn diese Gesetze? 00:23:52.630 --> 00:23:56.530 Der Cyber Resilience Act, wie gesagt, ist eine Verordnung, die gilt unmittelbar. 00:23:56.730 --> 00:24:00.450 Die ist jetzt quasi heute, gestern angenommen worden im Plenum. 00:24:00.510 --> 00:24:03.750 Das muss jetzt der Rat formal noch annehmen, weil wir noch im ersten Lesungsverfahren sind. 00:24:04.330 --> 00:24:08.410 Dann wird es im Amtsblatt der EU veröffentlicht. Und dann weiß ich nicht, 00:24:08.410 --> 00:24:11.210 ob es irgendwelche Übergangsfristen gibt oder ob das dann sofort gilt. 00:24:12.010 --> 00:24:13.230 Steht jetzt hier nicht im Briefing drin. 00:24:13.410 --> 00:24:16.670 Also meines Wissens nach gibt es relativ lange Übergangsfristen. 00:24:16.670 --> 00:24:22.430 Also zumindest nachdem es aus dem Parlament kam, haben wir sehr große Probleme 00:24:22.430 --> 00:24:25.810 gehabt, die Fristen nicht allzu lange zu haben. 00:24:27.373 --> 00:24:29.573 Also ein paar Jahre, oder was muss man sich da jetzt vorstellen? 00:24:29.573 --> 00:24:30.293 Ja, genau, ein paar Jahre. 00:24:31.313 --> 00:24:33.473 Okay, das tropft also so langsam rein. 00:24:33.953 --> 00:24:39.073 Okay, ich sehe gerade Artikel 14, Reporting Obligations of Manufacturers. 00:24:39.533 --> 00:24:44.253 Da geht es offenbar nur um Verwundbarkeiten, die aktuell aktiv ausgenutzt werden. 00:24:45.193 --> 00:24:50.833 Wenn also gerade irgendwie Angriffe laufen, dass dann die nationalen C-Cert-Koordinatoren 00:24:50.833 --> 00:24:54.373 und Enisa benachrichtigt werden sollen, damit die Schritte ergreifen können. 00:24:54.433 --> 00:24:56.293 Wenn gerade ein Angriff läuft, macht das ja auch Sinn. 00:24:58.013 --> 00:25:00.493 Aber darüber hinaus sehe ich jetzt keine Verpflichtungen. 00:25:01.813 --> 00:25:05.413 Zumindest gibt es jetzt erstmal nicht mehr das Admin-Admin-Standardpasswort 00:25:05.413 --> 00:25:07.573 bei irgendwelchen Routern. 00:25:07.853 --> 00:25:14.993 Das ist schon mal wichtig, dass mal überhaupt so eine Linie da gezogen wird mit so Leuten. 00:25:15.073 --> 00:25:20.253 Also wenn ihr hier irgendwie mitspielen wollt, dann ist einfach mal ein gewisses 00:25:20.253 --> 00:25:23.493 Minimum jetzt auch definiert und nicht nur so der Markt macht das schon. 00:25:23.813 --> 00:25:27.193 Und ich denke, das ist dann doch schon ein wichtiger Schritt nach vorne. 00:25:28.693 --> 00:25:33.033 Ja, und vor allem auch, Ralf hat ja schon die Analogie mit dem CE-Label genannt. 00:25:33.493 --> 00:25:37.153 Genauso wie man sich darauf verlassen muss, dass ein Gerät, das an Strom hängt, 00:25:37.173 --> 00:25:41.113 nicht zum Rauchen anfängt und explodiert, es hat auch bei der Netzwerkverbindung 00:25:41.113 --> 00:25:45.013 ein gewisses Mindestmaß an Sorgfalt einfach geboten. 00:25:45.113 --> 00:25:47.993 Also ob dieses Gesetz wirklich in allem perfekt ist, wird man sehen, 00:25:48.093 --> 00:25:51.493 aber die Richtung ist da schon die richtige, glaube ich. 00:25:52.133 --> 00:25:54.773 Und hier gab es natürlich auch wieder die Frage, was ist mit Open Source? 00:25:55.193 --> 00:25:58.553 Der gleiche Ansatz wieder bei der Produkthaftungsrichtlinie. 00:25:58.933 --> 00:26:02.813 Wenn man Software nicht kommerziell auf den Markt bringt, ist man raus. 00:26:04.623 --> 00:26:07.803 Also der kleine Open-Source-Entwickler, der irgendwelche Tools baut, 00:26:07.843 --> 00:26:11.883 die dann andere kommerzielle Hersteller nehmen, der ist raus und die kommerziellen 00:26:11.883 --> 00:26:13.383 Hersteller sind in der Pflicht. 00:26:13.663 --> 00:26:15.983 Und die müssen dann sozusagen auch für die Sicherheitsupdates sorgen, 00:26:16.143 --> 00:26:18.803 nicht der kleine Bastler in der Kellerwerkstatt oder so. 00:26:18.803 --> 00:26:23.803