Lösen nur Entinformatisierung und Entnetzung das Sicherheitsproblem?

Im heutigen Titel greife ich zwei Wortschöpfungen von Sandro Gaycken auf aus seinem 2012 erschienenen Buch Cyberwar. Gaycken ist wissenschaftlicher Mitarbeiter am Institut für Informatik der Freien Universität Berlin. Sein Studiengebiet heißt ‚Cyberwarfare‘, also der Krieg im Netz. Er ist vermutlich ein selbsternannter und sich nur selbst verantwortlicher Experte. Er ist sicherlich kein dienstverpflichteter Sicherheitsbeauftragter, noch ist er aktiver Infokrieger oder Feldinformatiker. Letzteres ist auch eine seiner Vokabeln, an die ich mich noch gewöhnen muss. Jedenfalls hat er ein sehr spannendes Arbeitsgebiet. Zurzeit berät er  ‒ nach eigenen Angaben ‒ den Deutschen Bundestag, mehrere Ministerien, die NATO, die G8 und die EU. Wenn das keine Empfehlung ist!

Schlachtfeld Cyberkrieg

In Endres/Gunzenhäuser (2010, S. 45-47) wurde das Thema Cyberkrieg nur kurz angesprochen. Folgende Zeilen seien ins Gedächtnis gerufen:

Das Wort Cyberkrieg ist eine Verkürzung für Krieg im Cyberspace, also einer Auseinandersetzung in dem von Computernetzen gebildeten virtuellen Raum. Täglich bilden die Rechner von Regierungsstellen in vielen Ländern der Welt das bevorzugte Ziel von Hunderten von Angriffen. In den USA sind es etwa Tausend solcher Attacken pro Tag.…Die Eindringlinge versuchen nicht nur, an sicherheitsrelevante Informationen zu gelangen – also Spionage zu betreiben –, sondern konzentrieren sich oft auch darauf, den Computer-Betrieb von wichtigen Informatiksystemen durch Service-Blockierer lahm zu legen (engl. Denial of Service Attacks). Die zunehmend weltweit operierenden Eindringlinge können aber auch die Kontrolle über ein System übernehmen und es so einsetzen, dass dem Opfer auf vielerlei Art Schaden entsteht. Schließlich kann man absichtlich Informationen verfälschen, etwa um Flugzeuge oder Schiffe von ihrem Kurs abzubringen….Alle kriegerischen Konflikte der letzten Jahre waren von Cyberkrieg-Aktionen begleitet, so der Kosovo-Krieg, der erste Golfkrieg, der Irak- und der Afghanistankrieg, aber auch der Georgienkrieg des letzten Jahres. Uns allen müsste der massive Angriff auf unser EU- und NATO-Partnerland Estland im Mai 2007 noch im Gedächtnis sein. … Hätte die NATO diesen Cyber-Angriff als Krieg aufgefasst, wäre sie zum Beistand verpflichtet gewesen….

Die USA sind mit großem Abstand das Hauptziel aller Cyber-Angriffe. Die Gründe sind offensichtlich. Die Informatisierung von Wirtschaft und Gesellschaft ist dort sehr weit fortgeschritten. …Als bedrohende Länder gelten aus amerikanischer Sicht heute vor allem Cuba, China, Iran, Nordkorea und – bis vor kurzem – Libyen. Bedroher Nummer Eins ist jedoch der internationale Terrorismus, der sich vor allem mit dem Namen Al Qaida verbindet. Viel breiter wird das Feld dieser Bedroher, wenn man die Gefahren, die für Industriekonzerne und private Firmen bestehen, dazu rechnet. …Jede aktive Strategie, die ein Land auf diesem Gebiet ergreift, hat mit großen Schwierigkeiten zu kämpfen. Zunächst geht es um die Abwehr einer Gefahr, die im Bewusstsein der breiten Bevölkerung nur eine untergeordnete Bedeutung einnimmt (etwa im Vergleich zur Kinderpornografie oder zur Schweinegrippe). ... Die Augen zu verschließen oder absichtlich im Paradies des Unwissens und der Unschuld zu verweilen, kann teuer zu stehen kommen….Es gibt nur sehr wenige offen zugängliche Publikationen. Manches was es gibt, ist entweder sehr unspezifisch oder längst veraltet. 

Wenn man diese Zitate liest, fällt auf, dass ein Land, nämlich Russland, in den letzten Jahren in zweierlei Hinsicht an Bedeutung gewonnen hat. Es ist sowohl Bedroher als auch weltweiter Lieferant von Abwehrmitteln geworden, insbesondere von Software.

Aktuelle Frontberichte

Das Buch von Gaycken scheint die Publikationslücke füllen zu wollen. Wenn es auch den Vorwurf nicht ganz loswerden wird ‚unspezifisch‘ zu sein, kann es zur Weckung des Bewusstseins beitragen. Ebenso tat dies die 3sat-Fernsehsendung von Gert Scobel vom 24.1.2013 mit dem Titel Cyberwar – das digitale Schlachtfeld. Als Teilnehmer der Sendung trug Gaycken die Information bei, dass heute etwa 120 Länder sich aktiv mit Abwehr- bzw. Angriffsmaßnahmen befassen. Selbst der Sultan von Brunei sei bereit, sich eine Kapazität für Cyberkrieg zuzulegen. Die Professionalisierung der Werkzeuge habe zugenommen. Die derzeit im Umlauf befindliche Schad-Software mit dem Namen ‚Flame‘ benutze im Vergleich zu Stuxnet eine Art Plattform, um die Produktivität der Entwicklung zu steigern. Es sind nicht mehr nur Halbstarke und Kleinkriminelle, die das Geschäft betreiben. Wenn Ziele verfolgt werden, bei denen es nicht primär ums Geld geht, dann sind eher ideologische Gruppierungen, politische Organisationen oder Staaten als Täter zu vermuten und nicht Wirtschaftsunternehmen oder Verbrecher-Kartelle. Die deutsche Politik zögerte etwas lange, ehe sie das Problem ernst nahm. Inzwischen hat das Cyber-Abwehrzentrum des Bundes etwa 150 Mitarbeiter. Ähnlich wie bei dem Konflikt in Afghanistan wird noch diskutiert, ob die Redewendung vom Cyberkrieg nicht zu martialisch sei. Nach wie vor ist es ein großes Problem, den Angreifer zu identifizieren (Attributionsproblem genannt). Er hat es sehr leicht seine Identität zu verdecken. 

Es scheint überhaupt eine Eigenart dieser Wissenschaft zu sein, dass sie von einzelnen (Kriegs-) Geschichten lebt. Wie in der Kriminalistik scheint es auch hier sehr schwer – wenn nicht unmöglich – zu sein, am Schreibtisch alle theoretisch möglichen Fälle zu durchdenken. Umso wichtiger und ergiebiger ist die Forensik. Man versteht darunter die systematische Identifizierung und Analyse krimineller Handlungen. Es ist die empirische Methode, die Vorrang genießt.

Täter und Opfer, Krieger und Beobachter

Manche Angreifer wollen möglichst viel Sichtbarkeit, andere nicht. Nicht die lauten Angreifer sind die größte Gefahr. Es sind die leisen. Die Regel ist, wer etwas Bedrohliches tut, tut es geheim. Auch hängen Opfer ihre Fehler ungern an die große Glocke. Man will weder den Angreifern noch den Kunden eingestehen, dass man Schwächen in punkto Sicherheit hat. In der ganzen Branche herrscht daher ein Mangel an Präzision. Das gilt in besonderem Maße für die akademische Seite. Das Geld, das hier unter dem Deckmantel der Forschung ausgegeben wird, hat zumindest den Nutzen, dass eine minimale Ausbildungskapazität aufgebaut wird. Stärker als auf jedem anderen Fachgebiet vermitteln hier Lehrbücher das Wissen von Gestern.

Waren die Netztüftler bisher als Außenseiter oder Hacker verschrien, die teilweise einer Passion nachgingen und vorwiegend auf eigene Rechnung arbeiteten, scheint dies sich gerade zu ändern. Hacker werden jetzt in zunehmendem Maße von staatlichen Stellen gesucht und angestellt, vielleicht sogar mit Aussicht auf Beamtenpension. Aus Gayckens oben erwähnten Buch lernte ich, dass die USA und Israel derzeit je 500 Hacker haben, die für den Staat arbeiten, China dagegen 150.000. China soll die staatliche Überwachung auf die Spitze getrieben haben. So sollen in der Stadt Szenzhen programmgesteuerte Kameras die Polizei alarmieren, wenn irgendwo mehr als zwei Leute zusammenstehen.

Das Geschäft mit der IT-Sicherheit ist schwierig und sensibel. Es ist daher kein Wunder, dass ein Guru wie Sandro Gaycken seine Leistungen auch nur indirekt anpreist. Es sind Hunderte von Vorträgen und Gesprächen, auf die er verweist. Die Vertreter der Wirtschaft haben es schwer, überhaupt Glauben zu finden. Ihnen wird grundsätzlich Parteilichkeit unterstellt. Viele der freischwebenden Aktivisten sind Ideologen. Sie reiten ein Hobby, um nicht zu sagen, einen apokalyptischen Höllenhund.

Einen wichtigen Denkanstoß will Gaycken mit der Frage geben, ob unsere elaborierten Datenschutz-Maßnahmen unser Land sicherer machen gegen die Wiederkehr eines totalitären Systems. Zu glauben, dass Datenschutz wirkliche Anti-Demokraten aufhalten würde, hält er für abwegig. Sobald sie an der Macht sind, können sie in kürzester Zeit nachrüsten. Bei vielen Dingen, die helfen würden, scheint ein Kollateralopfer das freie Internet zu sein. Er hütet sich daher präzise zu sein. Falls er etwas Unpassendes sagen würde, bräche nämlich sehr leicht die Hölle los (auf neudeutsch: ein ‚Shit storm‘).

Umkehr lieb gewonnener Trends oder nicht?

Statt alle Aspekte des Cyberkriegs zu vertiefen, will ich auf die Titelfrage zurückkommen. Anders ausgedrückt, gibt es radikale Maßnahmen, die das Problem vollkommen lösen und trotzdem funktionieren, oder geht dies nur, wenn wesentliche Umstände sich ändern?

Informatisierung und Vernetzung sind zwei markante Trends in unserer modernen Gesellschaft. Sie wirken vor allem in den Industrieländern, aber nicht nur in diesen. Nach Horx sind sie Teilaspekte des Megatrends Konnektivität. Die Informatisierung bewirkt, dass wir über alle Mitglieder und Gruppierungen der Gesellschaft sehr gut informiert sind, aber auch über ihre Beziehungen und Aktivitäten. Es schließt die Umwelt und die Welt der Dinge und Ideen mit ein. Anstatt physischer Güter werden immer mehr Informationen ausgetauscht. Das wird ermöglicht von einem hohen Grad der Durchdringung mit Informatik und Informationstechnik. Die Vernetzung gestattet es, dass wir Informationen zeitnah und in großen Mengen austauschen können. Wir verdanken dies vor allem den Fortschritten in der Telekommunikationstechnik. Werden diese beiden Begriffe mit der Vorsilbe 'Ent' versehen, ist damit gemeint, dass der entsprechende Trend umgekehrt und das bisher Erreichte rückgängig gemacht wird.

Gaycken stellt die im Titel wiedergegebene Frage nur rein hypothetisch und gibt selbst keine Antwort. Er gibt lediglich eine Richtung an, indem er sagt, dass unsere Systeme stärker dezentralisiert und heterogenisiert werden müssten. Auch das erfordert ein erhebliches Umdenken. Mir erscheint, dass damit viele uns fast zur Selbstverständlichkeit gewordene Prinzipien auf den Kopf gestellt werden. Mir ist nämlich nicht klar, wie aus Wildwuchs und Unverträglichkeit ein Vorteil entstehen kann. Sind sie jedoch mangels Kommunikation und Koordination einmal entstanden, ist es schwer, sie wieder zurückzudrängen und zu überwinden.

Auf Verständnis stößt Gaycken bei mir am ehesten noch mit dem folgenden Gedankengang. Wir müssten hinterfragen, ob die Gleichung  ‚Mehr Information = mehr Wissen‘ immer stimmt und ob mehr Wissen immer gut ist. Da merkt man einen philosophischen Hauch. Auch der Rückbau gewisser technischer Errungenschaften kann Fortschritt sein. Das Problem ist, dass wir keine Ersatztechnik haben. Vollkommen treffen sich unsere Ansichten, wenn er sagt: Wir sind pfadabhängig, d.h. wir sind bereits zu weit in einer Richtung fortgeschritten, es gibt nur noch den Weg vorwärts. Im Grunde also, viel Grübeln ohne klare Antwort.

Ich bin überzeugt, dass es sich lohnt, weiterhin nach technischen Lösungen zu suchen. Nur dürfen wir nicht zu viel von ihnen erwarten. Es werden Kompromisse sein müssen. Alle Maschinen vom Netz zu nehmen, ist sicherlich der falsche Weg. Nach einem Bericht des IEEE Spectrums von letzter Woche arbeiten amerikanische Stellen daran, auch in Rechner einzudringen, die nicht an einem Datennetz angeschlossen sind. Das Abhören von Rechnern war schon vor 30 Jahren möglich, wenn elektromagnetische Abstrahlung nicht durch einen speziellen Metallmantel unterbunden war. Jetzt denkt man darüber nach, wie man ausführbaren Code in einen Rechner übertragen kann, zum Beispiel von einer darüber fliegenden Drohne aus. Gegen derartige Pläne müssten eigentlich Internet-Puristen und Datenschützer längst auf allen Straßen der Welt protestieren. Die Piratenpartei hingegen könnte es eher zu zustimmenden Äußerungen anspornen. Damit wäre endlich die volle Offenheit aller Datenbestände technisch erzwingbar.

Sehr viel Hoffnung verbinde ich mit organisatorischen und strukturellen Maßnahmen. So hat es die Firma Apple geschafft, dass Viren-Problem für ihre mobilen Geräte weitgehend zu lösen. Ihr Weg hieß, zurück zu einem geschlossenen System. Alle Anhänger offener Systeme, und das ist ‒ nach der Lautstärke gerechnet ‒ die Mehrheit aller Fachleute, hielten Apples Entscheidung für falsch. Der unglaubliche Markterfolg sowohl des iPhones wie des iPads ließ die Kritiker verstummen. Jahrzehntelang gaben Pessimisten den Ton an, die vorhersagten, dass die Informationstechnik am Viren-Problem zugrunde gehen könnte. Das Viren-Problem ist das Grundproblem des Cyberkriegs. Das Beispiel zeigt, dass es sowohl Beharrlichkeit als auch Intuition erfordert, um zu akzeptablen Lösungen zu gelangen, die funktionieren. Nur das Bohren von dicken Brettern hilft – um es bildlich auszudrücken.