Wie effektiv ist die Cyber-Sicherheitsstrategie der Bundesregierung?
Das, was ich kenne, klingt nach einer schnellen und kostengünstigen Maßnahme für ein Problem, das sich weder schnell noch günstig lösen lassen wird. Lage beobachten, Sicherheit der Systeme erhöhen, Krisenmanagement, Expertenrunden: Das klingt gut, ist aber überflüssig. Zum einen, weil das meiste, was man aus dieser konventionellen Sicht heraus tun kann, bereits getan wird. Das BSI leistet da bereits hervorragende Arbeit, es gibt zahlreiche weitere Kooperationen und auch die Industrie ist bereits umfassend und mit weit besserer Expertise und größeren Personenstärken tätig.
Zum anderen, weil sich die aktuellen und wesentlich gefährlicheren Bedrohungen des Cyberwars oder organisierten Cyberkriminalität in keiner Weise mit konventionellen Mitteln bekämpfen lassen.
Die Lage zu beobachten ist paradox, weil gute Cyberangriffe nicht detektierbar sind. Sicherheit am Übergang zwischen privatem Netz und öffentlichen Internet zu erhöhen ist sinnlos. Denn gute Cyberangreifer nutzen menschliche und technische Insider, die diese Schnittstelle unterlaufen. Krisenmanagement nützt nichts, weil die wirklich große Krise eines Cyberangriffs – ein starker Angriff auf kritische Infrastrukturen – nach wenigen Tagen nicht mehr zu managen ist. Da bricht einfach alles zusammen. Also mit anderen Worten: Den Kampf gegen die abwehrbare Bedrohungen gibt es schon, den Kampf gegen die im Moment noch nicht bekämpfbaren Bedrohungen kann man nicht führen.
Wie sinnvoll sind Cyber-Abwehrzentren generell?
Sehr mäßig. Das Problem ist das Wort „Zentrum“. Sehr starke und strukturierte Angreifer lassen sich eben nur an den Zielsystemen selbst abwehren, durch eine wesentlich auf Sicherheitsaspekte hin neu entwickelte Informationstechnik, durch Entnetzung und durch weitere Maßnahmen wie etwa – ganz zentral – eine deutlich verbesserte Insider-Abwehr. Zentralistisch lässt sich da nichts machen. Man kann dort natürlich Informationen zusammenführen und Reaktionen koordinieren. Aber das macht schon längst die Industrie aus Eigeninteresse.
Außerdem suggeriert so ein Zentrum, dass man im Zweifelsfall schnell reagieren und koordinieren kann. Die Experten sollen da ja 24/7-Schichten schieben. Das ist allerdings auch eine irrige Vorstellung, da die meisten Cyber-Angriffe starker Angreifer nur äußerst schwer zu entdecken sind. Abgesehen von einer vermutlich immensen Dunkelziffer dauert es im Schnitt zwei bis fünf Jahre bis ein solcher Angriff das erste Mal detektiert wird. Da kommt es dann in der Reaktion auf ein paar Stunden oder Tage in der Regel auch nicht an.
Welche Chancen haben Staaten dann noch, Cyber-Angriffe erfolgreich abzuwehren, wenn Firewalls nichts nützen und Sanktionen ins Leere gehen?
Ein Umstand, der eben noch fundamental unverstanden ist, ist die neue Qualität dieser neuen Angreifer, die wir jetzt immer häufiger sehen. Das ist ein evolutionärer Sprung im Vergleich zu dem, was es vorher so gab. Die jetzigen Angreifer sind absolut nicht detektierbar und damit auch nicht abzuwehren. Die meisten Sachen, die herausgekommen sind, sind auch nur durch Zufall entdeckt worden. Im Moment, mit dieser aus Sicherheitsperspektive maroden IT und der massiven Vernetzung, haben Staaten einfach überhaupt keine Chance, Angriffe abzuwehren
Das zeigen uns auch sehr deutlich alle Erfahrungen der letzten Jahre und man kann das auch sehr gut in der völlig veränderten Sicherheitsstrategie der USA beobachten. Die sind inzwischen – nach fünf Jahren intensiver Forschung – bei der Haltung angekommen, dass man weder zurückschlagen kann, weil sich die Angreifer prinzipiell nicht identifizieren lassen, noch verhindern kann, dass die eigenen Systeme angegriffen werden. Der neuste Trend dort lautet jetzt „Intrusion Tolerance“. Man nimmt dabei an, dass der Gegner ohnehin in meinem System ist und versuche, ihm wenigstens ein paar Optionen zu nehmen.
Es gibt keinerlei effiziente Mittel, die Regierungskommunikation zu schützen?
Gegen Kleinkriminelle und Teenager: Doch. Gegen andere Nachrichtendienste, Militärs oder große, organisierte Kriminelle: Nein. Gibt es nicht.
Das Bundeskabinett beschloss heute eine neue „Cyber-Sicherheitsstrategie für Deutschland“. Unter diesem Titel verbergen sich mehrere Einzelmaßnahmen, die dazu dienen sollen, die Sicherheit vor Angriffen auf Computernetzwerke in Deutschland zu erhöhen. Das Konzept wurde heute gemeinsam vom federführenden deutschen Innenminister Thomas de Maizière (CDU) und Wirtschaftsminister Rainer Brüderle (FDP) vorgestellt. Man reagiere mit dem neuen Entwurf auf eine „veränderte qualitative Bedrohungslage im Cyber-Raum“, hieß es. Experten bezweifeln indessen die Effektivität der angepeilten Maßnahmen.

Kern des Konzepts ist die Einrichtung eines „Nationalen Cyber-Abwehrzentrums“, das dem „Bundesamt für Sicherheit in der Informationstechnik“ (BSI) unterstellt ist, das wiederum dem Bundesinnenministerium untersteht. In die Zusammenarbeit sind weitere Behörden und Nachrichtendienste eingebunden: das Bundesamt für Verfassungsschutz sowie das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Der geplante Datenaustausch zwischen diesen Behörden hatte im Vorfeld die Kritik des kleineren Koalitionspartners, der FDP, hervorgerufen. Gegenüber dem „Spiegel“ warnte die innenpolitische Sprecherin der FDP-Bundestagsfraktion, Gisela Piltz, vor einer „Vermischung polizeilicher und nachrichtendienstlicher Tätigkeiten“.

Das Konzept enthält weitere acht „strategische Ziele und Maßnahmen“. Unter anderem soll ein sogenannter „Nationaler Cyber-Sicherheitsrat“ gebildet werden, der Firmen und Institutionen in Deutschland bei der Gefahrenabwehr von Angriffen aus dem Internet beraten soll.

Die Aktivitäten der Bundesregierung, einige Medien sprechen auch von „Aktionismus“, sind offenbar als Reaktion auf die Angriffe durch den so genannten Stuxnet-Virus vom Juni vergangenen Jahres zu verstehen. Spiegel Online zitiert aus einer geheimen Kabinettsvorlage: „Die Erfahrungen mit dem Schadprogramm Stuxnet zeigen, dass auch wichtige industrielle Infrastrukturbereiche von gezielten IT-Angriffen nicht mehr ausgenommen sind.“ In einem anderen Papier, das den Bundestagsfraktionen zugeleitet wurde, wird das Ministerium noch deutlicher: Die „kurzfristige Erkenntnisgewinnung der Sicherheitsbehörden“ sei „deutlich verbesserungsbedürftig“.

Wenig beeindruckt vom neuen IT-Sicherheitskonzept der Bundesregierung ist der IT-Sicherheitsexperte Sandro Gercken von der FU Berlin. Angesichts des bereits existierenden Bundesamtes für Sicherheit in der Informationstechnik, das gute Arbeit leiste, sei das Gros der beschlossenen Maßnahmen eigentlich überflüssig, betonte Gercken gegenüber dem Handelsblatt. Vor allem die zentralisierte Struktur der neuen Behörde sei wenig geeignet, zeitnah auf neue Bedrohungen zu reagieren, denn gute Cyberangriffe seien schlicht „nicht detektierbar“. Die beschlossenen Maßnahmen seien allenfalls geeignet die Regierungskommunikation gegen „Kleinkriminelle und Teenager“ zu schützen, nicht jedoch gegen „andere Nachrichtendienste, Militärs oder große, organisierte Kriminelle“.

Der von der Regierung verwendete Begriff des Cyberspace entstand in den 1980-er Jahren des vorigen Jahrhunderts und hat seine Wurzeln in der Science-Fiction-Literatur. Die Bundesregierung definiert den Begriff des Cyberraums als „alle durch das Internet über territoriale Grenzen hinweg weltweit erreichbaren Informationsinfrastrukturen“.