Warum das neue Cyber-Abwehrzentrum der Bundesregierung so nicht funktioniert
16.6.2011 18:40
Ein paar kritische Anmerkungen.
Mit viel Tam-Tam und Presse hat die Bundesregierung – besonders Bundesinnenminister Hans-Peter Friedrich, wobei der das aufgrund seiner kurzen Amtszeit nicht gebaut, sondern nur geerbt haben kann – das neue Cyber-Abwehrzentrum eröffnet. Überall in Presse und Rundfunk tönt es, wie gefährlich der Cyber-Krieg doch sei.
So funktioniert das nicht.
Grundsätzlich ist so ein Cyber-Abwehrzentrum keine schlechte Idee. Früher nannte man sowas schlicht CERT (Computer Emergency Response Team), aber so eine Bezeichnung ist zuwenig presse- und öffentlichkeitstauglich, also muß eine windschnittig-dramatische Bezeichnung her, die auf den Schlagzeilen was bringt und die Regierung aktiv aussehen läßt. „Cyber-Abwehrzentrum” – schon der Name ist falsch, denn man will ja nicht die Computertechnik, sondern die Angriffe abwehren (obwohl die Politik der Bundesregierung der letzten Jahre durchaus eher den Eindruck vermittelt, die Computertechnik und das Internet selbst abwehren zu wollen). Da aber in letzter Zeit in Presse und Politik so viel vom „Cyber-War” die Rede war, scheint ein Großteil der Bevölkerung (und vielleicht der Politiker) das Wort „Cyber” mit böse, Hacker, Angriff zu assoziieren. Dabei meint es eigentlich nur Rechentechnik (vgl. „Kybernetik”) oder etymologisch exakter Steuerungstechnik. Bekannt wurde der Begriff auch durch Mainframe-Rechner der 70er und 80er Jahre wie die CDC Cyber und die Verwendung des Begriffs in Science-Fiction. Da wurde es dann auch zum Begriff Cyborg abgeleitet, der ein Mischwesen aus Maschine und Organismus bezeichnet. Erst seit aber von Politik und Presse soviel heiße Luft um die elektronische Kriegführung ventiliert wird und man ein dramatisches Buzz-Word brauchte, kam da der Cyber-War da öffentlich in Mode (wobei der Begriff wohl von Videospielen und Kinofilmen geprägt wurde). Inzwischen scheint „Cyber” zumindest in unserem Kulturkreis nicht mehr die Rechentechnik, sondern fiese Hacker, die unsichtbar böse Dinge tun und unser aller Daten klauen und die Stromnetze lahmlegen, zu bezeichnen. Weil sich der Begriff ja auch so schön künstlich, englisch und fies anhört, ohne irgendwas konkretes zu sagen. Dem normalen Bürger läuft dabei automatisch ein Schauer der Hilflosigkeit und Ausgeliefertheit gegenüber bösen russischen und chinesischen Mächten über den Rücken. Herrlich, um Politik zu machen.
Ein CERT zu haben, ist ein guter Anfang. Vor einigen Jahren gab es sogar schon mal ein Bundes-CERT, das aber pleite gegangen ist. Weil die Bundesregierung – der damalige BSI-Chef Udo Helmbrecht brachte das zum Ausdruck – mal sagte, daß IT Security aus ihrer Sicht nichts anderes bedeutet, als die IT-Sicherheitsbranche wirtschaftlich zu befeuern. IT-Security als x-beliebiger Wirtschaftsfaktor. Es geht nicht um das Abwehren von Angreifern, sondern um das Verkaufen von Virenschutzprogrammen als Umsatzfaktor. Kann man einer solchen Regierung (zu)trauen, ein „Cyber-Abwehrzentrum” zu bauen? Eigentlich nur, wenn man ihnen unterstellt, daß sie ihre Meinung über IT-Sicherheit genauso schnell geändert hat wie die über Atomkraftwerke. Aber nicht mal dann so richtig.
IT-Sicherheit ist in Deutschland ein trauriges Kapitel. Jahrelang wurde das auch an den Universitäten nur als x-beliebiger Vorwand für das Beantragen von Forschungsgeldern und das Aufblasen von Lehrstühlen und Professoren verwendet, weil es sich wichtig anhört. Tatsächlich geleistet wurde aber nie etwas. Deutschland ist in diesem Bereich, auch was Internet und so weiter angeht, ein reines Abnehmer- und Konsumentenland. Der ganze Kram wird – im Guten wie im Schlechten – vor allem in den USA entwickelt, mit allen Vor- und vor allem Nachteilen von deren Mentalität, Rechtssystem, Selbstverständnis und Schlampigkeit.
IT-Sicherheit heißt in Deutschland (und Europa!) nicht, daß wir sichere Techniken entwickeln. Es heißt bestenfalls, daß wir die Unsicherheiten der Techniken kennen, die wir dennoch kritiklos aus den USA übernehmen. Wir sind nur am Mäkeln, aber nicht am Machen.
Die Nachteile beider Systeme – das der USA wie das der Europäer – habe ich schon negativ bemerkt, als ich vor fast 10 Jahren bei der IRTF und der IETF ein Anti-Spam-Verfahren (RMX) vorgeschlagen habe. Damals war ich in der Sache als fast einziger Nicht-Nord-Amerikaner (ein Franzose war noch unterwegs) involviert, und habe versucht, argumentativ gegen mehrere hundert US-Amerikaner anzukämpfen. Die Amis haben den Ansatz damals zerrieben, weil deren Wirtschaftsinteressen und Patent-Sichtweisen dagegen stehen, und IT-Sicherheit hat sich dort eindeutig Wirtschaftsinteressen unterzuordnen. Die Europäer hingegen hat das Thema überhaupt nicht interessiert, die blieben einfach abwesend, und haben das weder aus der Wissenschaft, noch aus der Regierung heraus gefördert. Man kann sich nun überlegen, was schlimmer ist, die korrupte Herangehensweise der Amis oder die ignorante der Europäer und insbesondere der Deutschen. Zu IT-Sicherheit führen sie jedenfalls beide nicht.
Die Dramatik des „Cyber-War” beruht keineswegs darauf, daß wir nun von so vielen bösen Chinesen und Russen angegriffen werden. Sie beruht darauf, daß wir selbst etwa 20 Jahre lang in Ignoranz und Dummheit einen so großen Haufen schlechter IT-Technik aufgetürmt haben, der so voller Sicherheitslöcher ist, daß wir sie nicht mehr in den Griff bekommen – die schiere Quantität, aber auch das Fehlen einer eigenen Industrie in diesem Bereich machen das unmöglich. Alle Welt redet von der Problematik der Atomendlager, wo wir die Sünden der letzten Jahre hinpacken. Daß aber der „Cyber-War” und unsere Verletzlichkeit tatsächlich nur die Folge von über 20 Jahre politischer und wissenschaftlicher Ignoranz ist, und unser Sicherheitsproblem der in dieser Zeit als Infrastruktur aufgehäufte unsichere Mist, also nicht die bösen Hacker, sondern unser Management und unsere Politik die Täter sind, wird verschwiegen. Die Unsicherheit, die Verletzlichkeit im Cyber-War ist nicht systemimmanent. Sie ist eine spezifische Eigenschaft des IT-Mistes, aus dem wir in den letzten 20 Jahren unsere Infrastruktur kritiklos gebaut haben. Nun haben wir den Salat, aber keine Exit-Strategie.
Und was mich daran irritiert ist, daß einem gerade in allen Medien ständig und immer wieder um die Ohren geblasen wird, wie gefährlich IT-Angriffe sind und welchen immensen Schaden sie anrichten können – und dann bekommt das Abwehrzentrum mickrige 10 Mann Besatzung. Glauben die eigentlich selbst, was sie da sagen?
Ein paar Beispiele für fundamentale Fehler, die wir in den letzten Jahren begangen haben:
- Schon das Wort „Cyber-Abwehrzentrum” zeigt das Problem. Man unterliegt der Sichtweise, daß wir einen großen Haufen IT haben, der so ist, wie er nunmal ist, und wir reaktiv auf Angriffe eingehen. Dazu muß man sie erstens erst mal entdecken, und zweitens ist es dann schon viel zu spät. Dahinter steht so die juristisch-politisch-kriminalistische Sichtweise, daß man Straftaten durch Strafen verhindert, die verhängt werden, wenn das Verbrechen bereits passiert ist.
Das funktioniert hier nicht. IT-Sicherheit erreicht man nicht durch reaktives Abwehren, sondern durch proaktives Absichern. Der Fehler im Konzept ist, daß man glaubt, eine schlechte IT-Infrastruktur bewachen zu können und zu müssen, anstatt eine starke Infrastruktur systematisch aufzubauen.
Bemerkenswerterweise müssen selbst die USA – der Haupturheber der in der weltweiten IT-Infrastruktur eingesetzten Programme, Betriebssysteme, Komponenten – so weit gehen, daß sie IT-Angreifern mit Militärschlägen drohen, weil sie sich selbst auf IT-Ebene nicht mehr absichern können. Der Unterschied zwischen denen und uns ist, daß wir nicht mal mit Militärschlägen drohen können. Also IT-Angriffen eigentlich gar nichts mehr entgegenzusetzen haben. Außer jetzt dieser 10-Mann-Truppe.
- Man hat es zugelassen, daß Windows zum de facto Standard-Betriebssystem wurde, sowohl im Industrie-, wie auch im Behörden- und Privatbereich.
Schon rein volkswirtschaftlich ist das ein Fehler, denn wir haben insgesamt sicherlich sehr viel mehr Geld für Windows rausgeworfen, als uns die Entwicklung eines eigenen Betriebssystems mit vernünftigen Eigenschaften gekostet hätte. Dazu kommen die ganzen Folgeschäden, die Microsoft durch Geheimniskrämerei, Patentrechterei und Lizenzturnerei verursacht hat. Hätte man in Deutschland (oder Europa) vor 10 bis 20 Jahren angefangen, ein vernünftiges und sauber gebautes Open-Source-Betriebssystem zu entwickeln, das allen einfach so kostenlos zur Verfügung steht, wäre das schon wirtschaftlich sehr viel sinnvoller gewesen. Ja, ich weiß, das hört sich nach Linux an. Ist es aber nicht. Denn Linux hat eine ziemlich chaotische Entwicklung hinter sich, und es mischen eine Menge Leute darin herum, zu deren Stärken – vorsichtig ausgedrückt – Sachkunde, IT-Sicherheit und Programmieren nicht so unbedingt gehört. Zudem hätte man durch hohe Einfuhrzölle auf undokumentierte Chipsätze durchaus herbeiführen können, daß man auch zu Hardware Open-Source-Treiber schreiben kann und nicht auf die gepfuschten Windows-Treiber der Hersteller angewiesen ist. Es hätte niemals geduldet werden dürfen, daß man Windows automatisch zur Hardware mit dazukaufen muß.
Außer den wirtschaftlichen Folgen ergeben sich daraus dramatische Konsequenzen für die IT-Sicherheit. Windows hat zwar inzwischen durchaus einige sehr interessante Eigenschaften, und Microsoft gibt sich heute (jedenfalls im Vergleich zu früher) auch deutlich Mühe. Aber Windows (und das ganze Softwaregebimsel drumherum) ist technisch so vermurkst und von Marketingstrategen überladen, aber gleichzeitig in seiner Rückwärtskompatibilität gefangen (weil die Aufgeblähtkeit, die Herstellerabhängigkeit und die Lizenzierung einer Aktualisierung alter Betriebssysteme entgegenstehen). Windows ist an einigen Stellen zutiefst vermurkst, und nicht mal Microsoft ist noch in der Lage, das zu korrigieren.
Die Folge ist, daß wir als eine der größten Volkswirtschaften der Welt vollständig durchdrungen und vollständig abhängig von einem Betriebssystem sind, dessen Quelltext wir nicht mal haben und das wir nicht einfach so mal ändern können. Damit steht und fällt aber alles. Mit Microsoft und dem derzeitigen Windows werden wir niemals brauchbare Sicherheit erreichen, aber einen Umstieg auf etwas anderes würden wir schon wirtschaftlich nicht mehr stemmen können (siehe nur die Posse um das Auswärtige Amt, das schon damit überfordert war, von Windows auf Linux umzusteigen – wie soll es dann ein ganzes Land können?). Und uns fehlen schlichtweg die Alternativen. Auch als Linux-Fan muß ich objektiv sagen, daß Linux (und insb. die Distributionen) trotz all ihrer Vorteile auch nicht wirklich brauchbar sind, weil auf nichts Verlaß ist, fast nichts wirklich ausprogrammiert wird, und zuviele Leute rummurksen, die man bestenfalls als unprofessionell einstufen würde, die irgendwelchen Ideologien und privaten Vorlieben folgen. Zudem leidet Linux grundsätzlich an dem Problem fehlender Hardware-Dokumentation.
Wer Sicherheit will, der kann nicht einfach mit ein paar Sälbchen und Pflästerchen Oberflächenkosmetik treiben und jetzt mit ein paar Nasen mal eben auf Cyber-Abwehr machen. So lange wir das Problem nicht lösen, können wir uns IT-Sicherheit in dieser Breite eigentlich an den Hut stecken.
Würden wir jetzt (endlich) anfangen, ein ordentliches Betriebssystem zu entwickeln, dann wären wir vielleicht in 5 bis 10 Jahren in der Lage, IT-Sicherheit auf ein brauchbares Niveau zu haben. Vorausgesetzt natürlich, daß wir genug fähige Leute haben, so etwas zu bauen. Was das Problem mit sich bringt, daß wir in Deutschland Leute nicht dazu ausbilden, das zu können.
Oder anders gesagt: Wir sind weder fachlich, noch personell oder tatsächlich in der Lage, IT-Sicherheit herzustellen. Obwohl wir es wirtschaftlich eigentlich müßten.
- Ähnlich abhängig von US-Produkten sind wir bei den typischen Büroapplikationen wie Word, Outlook usw. Auch hier werfen wir mehr Geld über den großen Teich, als es uns kosten würde, es besser selbst zu entwickeln.
Unser IT-Sicherheitsstatus hängt damit ganz wesentlich von der amerikanischen Software-Mentalität, von Marktzwängen nach immer mehr Multimedia-Geblubber, Automatismen und Klickedibums ab als von Sicherheitsanforderungen. Warum eigentlich? Wir wissen doch schon lange, daß die Amerikaner ein ganz anderes Verhältnis zu Datenschutz, Privatsphäre, Vertraulichkeit usw. haben als wir. Mit Datenschutz- und Telekommunikationsrecht sind wir dahinter wie der Teufel hinter der Seele, daß personenbezogene Daten nicht in den USA verarbeitet werden. Gut. Aber von denen, denen wir da mißtrauen, lassen wir uns die Software schreiben, mit der wir selbst die Daten verarbeiten.
Wer von denen, die immer aufschreien, wenn Flugdaten oder Geldüberweisungen in die USA transportiert werden, wenn all die Facebooks uns ausleuchten, zieht denn die Konsequenz daraus und verwendet keine amerikanische Software mehr, weil sie derselben schlechten Sichtweise entspringt? Über Google, StreetView, Facebook usw. schreien sie alle. Aber Alternativen werden nicht gebaut.
- Eine Hauptursache für Sicherheitslöcher – und um die geht es ja hier – sind die Programmiersprachen C und C++, und deren Laufzeitbibliotheken mit deren Schnittstellen, wie POSIX. In einer ordentlichen Programmiersprache dürfte es sowas wie Pufferüberläufe, Null-Byte-terminerte Strings oder vergessene Abfragewerte nicht geben. C ist dermaßen fehleranfällig, daß es unter Industriebedingungen unmöglich ist, sichere Software zu schreiben, obwohl zwar nicht alle, aber die meisten Sicherheitslöcher durch eine ordentlich Programmiersprache ohne weiteres abgefangen werden könnten.
Man kann auch in C sicher programmieren. Wenn man sehr viel Wissen, sehr viel Selbstdisziplin, sehr viel Zeit und sehr gute Softwarequalitätsprozesse hat. Nur die haben wir nicht. Nicht in Deutschland. Die Realität in der Industrie sieht einfach anders aus. Ich habe genügend Anwendungs- und Webprogrammierer erlebt (auch in Java), die zwar eigentlich nicht schlecht programmieren, aber von Security kaum Ahnung haben und die typischen Standard-Fehler immer wieder machen. Nicht alle, aber doch sehr viele dieser Standardfehler wären durch bessere Programmiersprachen und bessere Lautzeitbibliotheken ohne weiteres abzufangen oder sogar zu verhindern.
Wer ernsthaft IT Security treiben will, der muß erst einmal eine ordentliche Programmiersprache entwerfen und dann möglichst schnell alles rausschmeißen und/oder neu schreiben, was in C und C++ geschrieben ist. Und da hat er was zu tun.
- Machen wir da gleich weiter: Um sicher zu programmieren braucht man entweder sehr viel Wissen und jahrelange Erfahrung – oder eine gute Ausbildung. Beides ist für die meisten Feld-, Wald- und Wiesenprogrammierer nicht verfügbar. In den mir bekannten einschlägigen Ausbildungsberufen kommt IT-Sicherheit nicht vor, und sogar im Informatik-Studium ist IT-Security nur an wenigen Unis als Schwerpunktfach verfügbar. Und die treiben eher Kryptographie und Beweistechniken als ordentliches Programmieren zu lehren. Jedenfalls hatte bisher keiner der Programmierer, denen ich in der Industrierealität begegnet bin und die ich dazu befragt habe, irgendeine Ausbildung oder Schulung in sicherem Programmieren.
- Eines der hässlichsten Sicherheitsprobleme – weil es mich am meisten ärgert – ist das Dateiformat PDF von Adobe.
Eigentlich wäre PDF genial. Eigentlich sehr gut. Eigentlich ein geschlossenes System, aus dem es kein Ausbrechen gibt. Eigentlich eine Sache, für die man ohne allzugroße Anstrengung wasserdichte Browser schreiben könnte. Eigentlich könnte PDF ein Format sein, bei dem man alles, was man aus unsicheren Quellen bekommt, bedenkenlos im Browser anzeigen könnte. Eigentlich.
Irgendwelche Marketing-Strategen (oder andere Idioten) bei Adobe waren aber der Meinung – und das ist leider auch in vielen anderen Softwareprodukten so – daß da noch Zusatzfunktionen rein müßten, um mehr Umsatz zu generieren. Also hat man da noch jede Menge Firlefanz eingebaut, externe Zugriffe, JavaScript, und so Zeugs alles, was diese schöne abgedichtete Umgebung wider alle Vernunft durchlöchert hat.
Dazu kam, daß Adobe in letzter Zeit unglaublich schlecht programmiert. Deren Programme (wie der Acrobat Reader, aber auch die Flash-Animationen) strotzen vor Sicherheitslöchern und haben als Angriffsziel inzwischen Windows überholt. PDF, das heißt dessen Formaterweiterungen und die Software außenrum, haben sich vom genialen Dokumentformat zur Sicherheitskatastrophe entwickelt. So sieht’s aus.
Was aber, muß man nun fragen, soll ein Cyber-Abwehrzentrum daran ändern oder verhindern?
Die richtige Vorgehensweise wäre gewesen, auf Bundes- oder Europa-Ebene mal so richtig strikt und rigoros ein Dateiformat für Dokumente zu definieren, das für sich völlig abgedichtet ist und per se keine Interaktion außerhalb des Dokumentes erlaubt. Könnte durchaus auch eine Untermenge des aktuellen PDF-Formates sein. Und dieses Format gibt man verbindlich für Behörden und Geschäftsverkehr vor, indem man u.a. die Definition frei verfügbar macht.
Dann muß man kostenlose Software allgemein zur Verfügung stellen. Eine Software, die ein solches Dokument prüft, ob es diesem Standard entspricht. Die beispielsweise das Herunterladen von Dokumenten oder den Empfang von E-Mails blockieren (oder davor warnen) kann, wenn man etwas bekommt, was dem nicht entspricht.
Und natürlich ein Anzeigeprogramm. Eins von der wasserdichten Sorte, wo dieser ganze Firlefanz mit eingebettetem JavaScript nicht drin ist, und das so programmiert ist, daß keine Pufferüberläufe und anderer Unbill passieren können. Sowas wie der Acrobat Reader, nur in gut und reduziert auf das, was nicht gefährlich ist. Und das für jeden zum freien Herunterladen, mit Quelltext zum Durchlesen für die, die das nachlesen möchten.
Mit einem so profanen Schritt hätte man weit mehr Sicherheit erreicht, als mit diesem fipsigen Cyber-Abwehrzentrum.
Bedenkt man allerdings, wie schwer sich die Bundesregierung schon mit der Software für den Personalausweis tut, bei der in der Linux-Version gar 100 Megabyte samt Java-Umgebung notwendig waren, und wie schwerfällig beispielsweise die Elster-Software für die Steuererklärung ist, sieht man sich an, welchen Bockmist man bei Polizei- und Finanzamtsoftware baut, dann ist fraglich, ob wir in Deutschland zu sowas überhaupt fähig wären. Die Programmierlandschaft in Deutschland ist aufgrund schlechter Ausbildung eine ziemlich armselige Sache. Und genau da müßte man anpacken.
Und so ähnlich sieht es dann auch mit anderen Softwareprodukten aus. Outlook zum Beispiel. Oder Word. Oder Excel. Was habe ich in den Firmen schon für Angriffe erlebt, wo man den Leuten einfach eine Mail zusandte und die unbedarft draufklickten. Und sich im günstigsten Fall nur ScareWare einhandelten. Wie kann es passieren, daß ein so hundsmiserables und löchriges Mailprogramm wie Outlook zum De-facto-Firmenstandard wird? Auch hier müßte man die Software von ihrer Funktion und ihrer Programmierqualität so abdichten, daß man eigentlich bedenkenlos auf alles klicken kann, was reinkommt – weil nur dann auch der unbedarfte Nutzer E-Mail nutzen kann. Stattdessen haben wir Mailprogramme, die abstürzen, die jeden Mist ausführen, und die den Datentyp an der Dateiendung festmachen, die sie nicht mal anzeigen.
Wer IT-Sicherheit haben will, der muß hier mal ganz klare Anforderungen an Mailverkehr stellen und definieren, was ein Mailprogramm tun und lassen soll. Und dann Software dazu anbieten oder von Herstellern die Einhaltung verlangen. Was aber soll ein „Cyber-Abwehrzentrum” hier tun und ausrichten können? Vielleicht Warnungen herumschicken? Hört mal Leute, da ist irgendein Chinese unterwegs, der Euch unverdächtige Mails schickt, und wenn Ihr draufklickt macht’s bumm? So vielleicht? Wie soll ein „Cyber-Abwehrzentrum” daran etwas ändern?
Was sie dazu machen ist De-Mail. De-Mail verhindert keinen Angriff, sondern unterwandert im Gegenteil sogar die End-zu-End-Verschlüsselung. Dafür ist es kostenpflichtig und lagert die E-Mail an einen externen Dienstleister aus. Und bringt absurde Rechtsfolgen mit sich. De-Mail ist so ein klassisches Beispiel dafür, wie die Regierung IT-Sicherheit verspricht, dabei aber nur auf Kosten des Bürgers einzelnen Unternehmen Umsätze zuschanzt. Wie will eigentlich eine Regierung, die schon das nicht auf die Reihe bekommt, ein Cyber-Abwehrzentrum betreiben können, das Deutschland vor Angriffen schützt?
- Ein Riesenthema ist die Web-Sicherheit. Phishing und so Zeugs.
Würde man das mal ordentlich angehen, dann würde man mal klar definieren, wie eine sichere Webseite auszusehen hat. Daß da eben nicht HTTPS mit HTTP gemischt wird. Daß da nicht die Inhalte und Skripte von allen möglichen Domains zusammengegurkt werden. Daß man eindeutige Domains hat. Und daß ein Domainname eine Rechtssicherheit hat und man feststellen kann, wer dahinter steckt. Und dann beschreibt man, was Browser tun und lassen müssen, und wie sie die Sicherheit einer Webseite zu prüfen haben. Und auch hier wieder aus dem Browser den ganzen Schnickschnack und Blödsinn rauswerfen, der die Sicherheitsprobleme erst mit sich bringt.
Da könnte man so viele nützliche Dinge tun, um die Macken zu beheben und die Sicherheit drastisch anzuheben. Da könnte man richtige Fortschritte erzielen. Aber dazu sind wir in Deutschland nicht befähigt. Das ist alles so ein Arrangieren mit dem Gegebenen, so ein Vor-sich-hinmurksen, so ein Bedienen der Vetternwirtschaft und der Pseudogeschäfte. Wir machen nicht IT-Sicherheit, wir machen Umsatz. Und wir schieben Posten im Innenministerium und im BSI an Parteisoldaten.
IT-Beauftragte der Bundesregierung, sozusagen die deutsche IT-Verantwortlichkeit Nummer eins ist Cornelia Rogall-Grothe, eine Juristin mit Polit-Karriere aber ohne IT-Ausbildung. Schlimmstenfalls Postenschieberei und Korruption, bestenfalls noch Quotenfrau in Zeiten, in denen das weibliche Geschlecht per se als alles andere überragende Eigenqualifikation für alles gilt. Wie aber könnte man einer Regierung, die solchen Schwachsinn treibt, noch die Befähigung zutrauen, ein Cyber-Abwehrzentrum einzurichten oder uns gar vor Angreifern zu schützen? Ich traue ihr das jedenfalls nicht zu.
- Eines der am meisten diskutierten und publizierten Sicherheitsprobleme (obwohl bei Licht betrachtet eigentlich gar kein Sicherheits-, sondern ein Datenschutz-, Rechts- und Dummenproblem) ist Facebook. Nur mal so als Beispiel. Wir ach so gerne von Politikern herangezogen. Also nehmen wir es mal als hinkendes, aber konkretes Beispiel?
Was macht man mit Facebook? Außer lamentieren, kapitulieren, hilflos mit den Armen rudern? Internet darf kein rechtsfreier Raum sein und so?
Nichts tut man.
Man könnte mal eine europäische Alternative bauen, die die Datenschutzprobleme löst. Macht man aber nicht. Stattdessen zeichnet die Verbraucherministerin Aigner den größten anzunehmenden Fall von Internet- und Sicherheitsinkompetenz (ich präge dafür mal den Begriff GAI für Größte Anzunehmende Inkompetenz), den digitalen Radiergummi X-Pire, übles Machwerk deutscher Universitätsschwätzer, als tolle Lösung aus, um mit Facebook und Co umzugehen. Wer traut solcher Politik eigentlich noch zu, ein Cyber-Abwehrzentrum zu bauen?
Man könnte auch mal den Amis auf den Schlips treten. Die wollen ja von uns ne ganze Menge. Sie wollen Fluggastdaten, Finanztransaktionen und sowas. Sie wollen, daß wir ihre Bits und Bytes in Form von schlechter Software, Musik und gleichartigen Hollywood-Filmen zu Mondpreisen kaufen und ihnen hübsch das Urheberrecht so zurechtbiegen, daß wir hier jeden 13-jährigen verfolgen, der mal was tauscht. Weil den Amis ihr Urheber-Umsatz so wichtig ist. Das Außenhandelsdefizit ist so hoch, daß sie zwangsläufig heiße Luft als Substanz verkaufen müssen. Gut, sei ihnen gegönnt. Dann könnte man denen aber entgegenhalten, hört mal, dafür sind uns Datenschutz und IT Sicherheit wichtig. Und ab sofort werden wir Eure Urheberinteressen nicht besser schützen als Ihr unsere Datenschutzinteressen. Betreibt Ihr Facebook so wie es ist, dann darf man bei uns Windows und Kinofilme tauschen. Tit for tat. Ruckzuck wäre das Problem gelöst. Tut man aber nicht. Kein Arsch in der Hose, keine Regierungsfähigkeit im Kopf. Wer traut dieser Regierung eigentlich zu, daß sie die Lösung von Sicherheitsproblemen und die Aufdeckung von Angriffen, wenn man sie denn mal entdeckt, überhaupt noch gegen USA, Russen, China oder wen auch immer durchsetzt? Man muß sich doch mal das Geeier um den Libyen-Einsatz ansehen. Traut man einem Guido Westerwelle oder wem auch immer zu, in andere Länder zu gehen und zu sagen, wir haben da was entdeckt, Ihr benehmt Euch nicht, das muß sofort aufhören?
- Ein wichtiger Ausgangspunkt für IT-Sicherheit wäre die Forschung im Hochschulbereich. Im wesentlichen ein Totalausfall. Die meisten derer, die sich dort als Sicherheitsexperten ausgeben, beherrschen das Fach nicht und sind selbsternannte Experten. Und befassen sich mit der massenhaften Produktion nutzloser Papers zu irrelevanten Themen. Je irrelevanter und praxisferner, desto geringer die Gefahr, widerlegt oder kritisiert zu werden. Wissenschaftler mögen das.
Konkrete Fortschritte gibt es da aber nicht. Was hätten deutsche Informatik-Wissenschaftler in den letzten Jahren von Bedeutung hervorgebracht? Von MP3 mal abgesehen?
Trotzdem bläst das Bundesforschungsministerium den Instituten einfach mal so, ohne konkrete Anforderungen und in nicht nachvollziehbarer Weise (dazu schreibe ich in den nächsten Tagen was unter Forschungsmafia noch was) das Geld hinterher, nach dem Gießkannenprinzip. Nach dem alten Regierungsmotto IT-Sicherheit ist, wenn der Umsatz stimmt.
Die Bundesregierung warnt ständig vor bösen Cyber-Kriegern aus bösen Ländern, die gewalten Schaden anrichten könnten. Weitaus größeren Schaden richtet eine Forschungsministerin Annette Schavan an, nur daß man vor der nicht offiziell warnt.
Würde man den Geldregen vielleicht mal daran binden, daß die Wissenschaftler nicht nutzlose Papers produzieren, sondern das, was man für IT-Sicherheit tatsächlich braucht (einiges habe ich ja oben erwähnt) und vielleicht auch daran, daß Geld nur an die vergeben wird, die eine echte Befähigung nachweisen und nicht nur von irgendeiner Fakultät willkürlich zum Professor und zur Koryphäe ernannt wurden, würde das Ergebnis ganz anders aussehen. Dann hätte man nicht nur eine weitaus bessere IT-Sicherheitsgrundlage, sondern sogar einen volkswirtschaftlichen Vorteil, einen Return of Invest für die Forschungsgelder.
Eine wesentliche Voraussetzung für die Verbesserung der IT-Sicherheit in Deutschland ist also – noch vor dem Bekämpfen ominöser Chinesischer Wunderhacker – die Beseitigung der Annette Schavan. Denn die vergeudet das Forschungspotential, für das wir Milliarden aus Steuergeldern verpulvern.
Würde man die Vergabe von Forschungsgeldern der Regierung an andere, realitätsorientierte Kriterien binden, dann würden die Fakultäten, deren einziges greifbares Auswahlkriterium für Berufungen nur noch die Menge der eingeworbenen Drittmittel sind, sehr schnell ihre Berufungspraxis ändern. Damit wären wir dann schon in 20 oder 30 Jahren – wenn alle die Professoren, mit denen man die bisherigen Beamtenstellen in der IT-Sicherheit aufgefüllt hat, emeritiert oder gestorben sind, eine Chance, befähigtes Personal in die Forschungsstellen zu bekommen und zur Abwechslung mal nicht amerikanische Produkte zu konsumieren, sondern selbst was zu entwickeln.
Wie man nun meinen Ausführungen vielleicht etwas angemerkt hat, traue ich dieser Regierung einfach nicht (mehr) zu, weder fachlich noch charakterlich, IT-Sicherheit ernsthaft herzustellen. Das BSI hat angeblich so um die 600 Leute, und bekommt wenig bis nichts auf die Reihe. Können sie auch nicht, wenn man bedenkt, unter welchem politischen Einfluß sie stehen. Wenn die aber schon nichts hinkriegen, was soll dann ein Cyber-Abwehrzentrum erreichen können, das aus einer 10-Mann-Abordnung des BSI besteht? Weniger als nichts?
Das alles macht auf mich den Eindruck einer Alibi-Veranstaltung. Ich weiß, was meiner Meinung nach notwendig wäre, um die IT Sicherheit deutlich und auf ein erträgliches Maß zu verbessern. Ich bin aber auch der Meinung, daß wir in Deutschland aus politischen und hochschulpolitischen Gründen nicht die Leute haben, die dazu befähigt wären. Platt gesagt, sind wir zu doof um mehr zu können, als den amerikanischen Massenmist zu konsumieren und immer wieder mal darüber zu lamentieren wie über Street View. Wir haben jahrelang in Politik, Behörden und Universitäten die falschen Leute eingepflanzt, und das Ergebnis ist, daß wir mit denen keine Blumentopf mehr gewinnen. Würde man das Thema IT Sicherheit ernsthaft angehen, käme das sehr schnell ans Licht. Vielleicht weiß man das sogar und will es deshalb vermeiden. Und deshalb tut man nur so, als würde man sich um das Thema kümmern.
Hi,
was Du hier abgeliefert hast ist ein absoluter Hammer, da kann man kaum darauf antworten. Allein die Masse ist erschlagend.
Nun versuche ich es doch:
Windowsvorherrschaft: Das ist absolut so, für einen der ab ’87 mit *UXen rummachte ist das noch viel unverständlicher.
>Zudem hätte man durch hohe Einfuhrzölle auf undokumentierte Chipsätze
>durchaus herbeiführen können, daß man auch zu Hardware
>Open-Source-Treiber schreiben kann und nicht auf die gepfuschten >Windows-Treiber der Hersteller angewiesen ist.
100% d’accor, leider muss das die Politikebene entscheiden – und die haben keine Peilung und sind in weiten Teilen gekauft.
>(siehe nur die Posse um das Auswärtige Amt, das schon damit >überfordert war, von Windows auf Linux umzusteigen – wie soll
>es dann ein ganzes Land können?)
Da bin ich optimistischer: Im Familienbereich/Firma habe ich Windows auf die Insel gesetzt. Die kommen nicht raus oder rein. Die einzigen OS die das können sind Linuxe (Suse und Ubuntu). Bei diesen Umstellungen habe ich gelernt dass nur die Hardcore Spieler auf M$ angewiesen sind. Alle anderen können mit einem Mix aus Linux, Open/Libreoffice und Eigenprogrammierung gut leben.
>Wer Sicherheit will, der kann nicht einfach mit ein paar Sälbchen >und Pflästerchen Oberflächenkosmetik treiben und jetzt mit ein paar >Nasen mal eben auf Cyber-Abwehr machen. So lange wir das Problem >nicht lösen, können wir uns IT-Sicherheit in dieser Breite >eigentlich an den Hut stecken.
2 Anmerkungen dazu:
1. Das Abwehrzentrum ist der Krisenstab: Man holt alle wichtigen und die zusammen die was zu sagen haben, damit die die wissen wie man das Problem löst in ruhen arbeiten können.
2. Meine Meinung: Man muss die Polizei entsprechend aufstocken. Es müssen genügen Menschen sich darauf konzentrieren was im Web los ist und die Kollegen des “real life” anschubsen.
Diese Menschen werden wenn sie genügend qualifiziert sind und nicht bürokratisch geknebelt von alleine die richtigen Maßnahmen treffen (wir sind immer noch Urzeitjäger).
>Würden wir jetzt (endlich) anfangen, ein ordentliches Betriebssystem >zu entwickeln, dann wären wir vielleicht in 5 bis 10 Jahren in der >Lage, IT-Sicherheit auf ein brauchbares Niveau zu haben. >Vorausgesetzt natürlich, daß wir genug fähige Leute haben, so etwas >zu bauen. Was das Problem mit sich bringt, daß wir in Deutschland >Leute nicht dazu ausbilden, das zu können.
Du bist reichlich pessimistisch. Warum sollte das nicht gehen? Die Ausbildung ist das eine, die Persönlichkeit das andere. Ich bin gerade auf dem Positivtrip – es wird schon schiefgehen.
>Ähnlich abhängig von US-Produkten sind wir bei den typischen >Büroapplikationen wie Word, Outlook usw. Auch hier werfen wir mehr >Geld über den großen Teich, als es uns kosten würde, es besser >selbst zu entwickeln.
100% ACK
>Wer ernsthaft IT Security treiben will, der muß erst einmal eine >ordentliche Programmiersprache entwerfen und dann möglichst schnell >alles rausschmeißen und/oder neu schreiben, was in C und C++ >geschrieben ist. Und da hat er was zu tun.
ich habe seit ’84 mit C “rumgemacht” – und da gab es schon z.B. Pascal.
C provoziert wirklich Speicherüberläufe und andere Probleme (incl. Code der “obwohl kommentiert” nicht lesbar ist).
>Jedenfalls hatte bisher keiner der Programmierer, denen ich in der >Industrierealität begegnet bin und die ich dazu befragt habe, >irgendeine Ausbildung oder Schulung in sicherem Programmieren.
100% ACK.
Ob ich eine Maschine ansehe oder ein kaufmännisches Programm. Absolutes No.
Da sind die Windows – Otto – Normalverbraucher durchaus (manchmal) kritischer.
>Eigentlich wäre PDF genial. Eigentlich sehr gut. Eigentlich ein >geschlossenes System, aus dem es kein Ausbrechen gibt. …
Muss dir zustimmen – das ist alles nur traurig. Manches wird verschlimmbessert.
>Mit einem so profanen Schritt hätte man weit mehr Sicherheit >erreicht, als mit diesem fipsigen Cyber-Abwehrzentrum.
Wieder 100% ACK, anscheinend werde ich zu Deinem “Fanboy”
SRY, mir geht die Zeit aus.
— ich schicke jetzt mal den ersten Teil raus. evtl. kommentiere ich den 2. Teil auch noch – nur morgen
Gruß Johannes