Suchen

Staatliches Hacken in Deutschland

Öffentliche Sicherheit kontra IT-Sicherheit

Seite: 2/2

Firma zum Thema

Es fängt bei der Beschaffung an

Es fängt bei der Beschaffung an. Natürlich wäre es ärgerlich wenn ZITiS und Bundeswehr die gleiche Schwachstelle doppelt einkaufen. Viel schlimmer ist es aber, wenn der Kauf eines solchen Produkts mit dem Geld deutscher Steuerzahler gleichzeitig einen Markt befördert, der auch dafür verantwortlich ist, dass andernorts Journalisten und Menschenrechtler bespitzelt werden können. Sicherheitslücken werden nicht nur von Staaten zur Strafverfolgung o. ä. ausgenutzt, sondern – neben Kriminellen – auch von autoritären Staaten zur Ausspähung von politischen Gegnern. Diese Staaten kaufen ihre Schwachstellen auf dem gleichen Markt und unter Umständen bei denselben Firmen wie unsere Behörden. Hier braucht es verbindliche ethische und rechtsstaatliche Rahmenbedingungen für die Beschaffung.

Bei der Abwägung, inwieweit eine gefundene oder gekaufte Schwachstelle behalten oder zum Beheben weitergegeben werden sollte, müssen unter anderem Antworten auf folgende Fragen gefunden werden:

  • Kann die Schwachstelle über das Internet weltweit ausgenutzt werden oder braucht man physischen Zugriff auf das Smartphone oder den Laptop?
  • Findet sich die Schwachstelle in IT-Systemen kritischen Infrastrukturen wie einem Umspannwerk oder existiert sie „nur“ in bestimmten Consumer-Produkten, wie dem vernetzten Kühlschrank?
  • Ist es eine bisher bereits bekannte oder eine unbekannte Schwachstelle?
  • Im letzteren Fall: Wie wahrscheinlich ist es, dass bereits andere Akteure Kenntnis von dieser Schwachstelle haben und sie gegen Ziele in Deutschland verwenden könnten?

Am Ende der Bewertung steht die Abwägung darüber, ob der Staat die Schwachstelle erst einmal für sich behalten will, um sie zukünftig bei der Strafverfolgung sowie für nachrichtendienstliche und militärische Operationen auszunutzen, oder ob die Schwachstelle an den Hersteller und die nationale Cyber-Sicherheitsbehörde weitergegeben werden sollte. Ziel sollte es hierbei sein, so wenige Schwachstellen wie nötig zurückzuhalten.

Schwachstellen zurückhalten

Der Grund dafür ist einleuchtend und führt uns zurück zu WannaCry,NotPetya und BadRabbit: Der Staat will Schwachstellen zurückhalten um sie im Namen der öffentlichen Sicherheit einzusetzen. Gleichzeitig können so zurückgehaltene Schwachstellen aber nicht sinnvoll behoben werden und gefährden möglicherweise die öffentliche Sicherheit, welche eigentlich verbessert werden sollte. Es handelt sich hierbei um nicht weniger als eine Frage der nationalen Sicherheit, oder um es mit den von Benjamin Franklin inspirierten – aber falsch kolportierten – Worten zu sagen: Wer Cyber-Sicherheit aufgibt, um öffentliche Sicherheit zu gewinnen, wird am Ende beides verlieren.

Sollte eine Abwägung zu dem Schluss kommen, dass eine Schwachstelle (temporär) zurückgehalten wird, sind drei Aspekte unverzichtbar: ein „Mindesthaltbarkeitsdatum“, eine sichere Verwahrung und Rechenschaft darüber, wenn diese Schwachstelle erfolgreich gegen deutsche Ziele eingesetzt wird. Periodisch sollte die Bewertung der Schwachstelle überprüft werden, um zum Beispiel sicher zu stellen, dass kein anderer Akteur Kenntnis von ihr hat.

Eine neuerliche Evaluierung sollte spätestens nach dem Einsatz einer Schwachstelle durchgeführt werden. Zusätzlich muss das Wissen um die zurückgehaltenen Schwachstellen geschützt werden. Der Staat muss in der Lage sein, die zurückgehaltenen Schwachstellen auch zu schützen. Was passiert wenn der Staat dazu nicht in der Lage ist, konnte man bei den bereits genannten Leaks der „Cyber-Arsenale“ von CIA und NSA durch Wikileaks und The Shadow Brokers beobachten.

Es ist sicherlich sinnvoll, dass es mit ZITiS eine Institution gibt, die sich zentral um die Beschaffung von Schwachstellen und die Vermittlung von Expertise kümmern soll. Konterkariert wird dies jedoch durch das Fehlen eines verantwortungsvollen Schwachstellenmanagements, den Mangel von IT-Fachkräften in der Öffentlichen Verwaltung, sowie der Ausnahme bestimmter Teilnehmer, wie etwa dem Bundesnachrichtendienst, von dem Prozess.

Gleichzeitig ist unklar, welchem Kontrollgremium ZITiS unterstellt ist und welche Transparenzanforderungen es erfüllen soll. Es muss einen Management-Prozess einschließlich sinnvoller Kontrolle und Transparenzvorgaben geben, der Cyber-Sicherheit als hohes Gut ansieht. Wir können hier unter anderem von den – guten und schlechten – Erfahrungen des Vulnerabilities Equity Prozesses (VEP) aus den USA lernen.

Über den Autor: Dr. Sven Herpig leitet bei der Stiftung Neue Verantwortung das Transatlantic Cyber Forum, ein intersektorales Expertennetzwerk zur Cybersicherheits- und -verteidigungspolitik. Er war vorher beim Bundesamt für Sicherheit in der Informationstechnik und dem Auswärtigen Amt tätig. Die Stiftung Neue Verantwortung ist eine unabhängige Denkfabrik, die konkrete Ideen entwickelt, wie die deutsche Politik den technologischen Wandel in Gesellschaft, Wirtschaft und Staat gestalten kann.

(ID:44988984)