Dr. Olaf Kroll-Peters, der Landesbevollmächtigte für Informationssicherheit des Landes Berlin

Da kommt mal wieder alles zusammen – und plötzlich passt auch wieder alles zusammen.

In Berlin geht es mit der IT Sicherheit gerade mal wieder drunter und drüber. Zwei Senatsverwaltungen sind offline, Hackerangriff, und auf X schreiben die Leute, dass sie sich schon wundern, dass das überhaupt bemerkt worden ist.

Ich hatte mich ja neulich mit dem Finanzamt gezofft, weil die in einer Steuerprüfung (Außenprüfung) wollten, dass ich alle, auch vertrauliche Daten, per E-Mail an den Betriebsprüfer schicke. Verschlüsselung? Is nich. Klar kann ich TLS zwischen meinem und deren Mailrelay erzwingen, aber was nutzt das, wenn sich zeigt, dass die Finanzämter von Berlin keine eigenen Mail-Server haben, sondern über die der allgemeinen Verwaltung von Berlin gehen? Also die allgemeine Verwaltung (und damit einschließlich des Verfassungsschutzes) da mitlesen kann? Und man hinter leicht sagen kann, nein, natürlich gibt der Betriebsprüfer keine Daten an den Verfassungsschutz weiter? Wozu auch, die lesen ja so schon mit. Kurios ist auch, dass wenn man dem Betriebsprüfer eine Mail schickt, man eine Eingangsbestätigung der allgemeinen Poststelle des Finanzamtes bekommt. Steuergeheimnis? Aber doch nicht in Berlin. Schließlich sollen die Hacker ja auch leichte Beute machen.

Ach, ja, das scheinen sie auch noch nicht gewusst zu haben, denn ein Mitarbeiter des Finanzamtes, ein Vorgesetzter des Betriebsprüfers, hatte mir mündlichen (und später auch schriftlich) zugesichert, dass er mir etwas zum Sicherheitsniveau der Steuerprüfung schicken werde, weil ich nämlich als Publizist Berufsgeheimnisträger bin und deshalb auch bei der Steuerprüfung besondere Sicherheitsmaßnahmen verlangen kann.

Zu diesen Sicherheitsmaßnahmen, die ich verlangen kann, gehört zum Beispiel, dass meine Steuersachen nur in den Diensträumen des Finanzamtes geprüft werden dürfen, wobei die Rechtsliteratur da auch nicht so genau sagt, ob damit das Arbeitszimmer des Betriebsprüfers oder das ganze Finanzamt gemeint ist. Die Daten dürfen jedenfalls die Diensträume nicht verlassen. Auf meine Frage, wieso denn der Betriebsprüfer nur per Telefon und E-Mail erreichbar sei, aber nicht im Haus war, als ich, wie vereinbart, meine Belege im Finanzamt abgegeben habe und mir bei dieser Gelegenheit seinen Ausweis zeigen lassen wollte, meinte das Finanzamt, der Mann sei als Betriebsprüfer eben ständig im Außendienst, bei geprüften Betrieben. Auf meine weitere Frage, wie das dann damit zusammenpasse, dass er also offensichtlich meine Steuersachen prüft, während er in anderen Betrieben statt im Finanzamt sitzt, bekam ich keine Antwort mehr.

Auch die versprochende Information zum IT-Sicherheitsniveau kam nie. Böse Lästermäuler in den Social Media behaupten, die letzte IT-Sicherheitsrichtlinie sei von 2015 – oder 2017. Man will sich da archäologisch nicht so ganz festlegen.

IT-Sicherheit in Berlin ist ein wunder Punkt.

Aktuell ganz schlimm

Nun, so schreibt der Leser weiter, sei das mit der IT-Sicherheit in Berlin ja nicht einfach nur peinlich oder lächerlich, sondern ganz schlimm, und verweist dazu auf einen (noch frei zugänglichen) Artikel des Tagesspiegel zu den aktuellen Hackerangriffen: Nach Hackerangriff auf Berliner Senatsverwaltungen: Auszahlung von Wohngeld an über 50.000 Haushalte in Gefahr

Da geht gerade mehr nicht als nur Home-Office.

Nach einem Hackerangriff auf zwei Berliner Senatsverwaltungen kommt es zu schweren Beeinträchtigungen. Unter anderem ist die Auszahlung des Wohngelds an die über 50.000 berechtigten Haushalte in Berlin in Gefahr. Gleiches gilt für die Sozialleistung „Bildung und Teilhabe“ (BuT).

„Der Angriff auf die Systeme der Senatsverwaltung trifft unsere Wohnungsämter mitten im Kern ihrer Arbeit“, sagte Juliane Witt (Linke), Bezirksstadträtin für Soziales und Bürgerdienste in Marzahn-Hellersdorf, dem Tagesspiegel. „Da das Fachverfahren für Wohnberechtigungsscheine, Zweckentfremdung und Wohngeld komplett lahmgelegt ist, können wir Anträge derzeit nicht bearbeiten. Unsere oberste Priorität ist es jetzt, gemeinsam mit dem Land Lösungen zu finden, damit anstehende Auszahlungen für Wohngeld und BuT die Bürgerinnen und Bürger trotzdem rechtzeitig erreichen.“

[…]

Den Begriff Cyberattacke oder Hackerangriff vermied die Senatskanzlei.

In Behördenkreisen ist dennoch von einem „schweren Cyberangriff“ die Rede. Nach Tagesspiegel-Informationen könnten noch mehr Häuser von dem Angriff betroffen sein. Zudem seien Daten abgeflossen, berichtete eine mit den Vorgängen vertraute Person dem Tagesspiegel. Allerdings soll es sich dabei um Daten handeln, die auch öffentlich verfügbar seien, konkret: Geoinformationsdaten, die auch über eine öffentliche Datenbank abrufbar seien. Es werde geprüft, ob der bekannte Vorfall lediglich dazu gedient haben könnte, von einem anderen Hackerangriff abzulenken.

[…]

Laut Senatskanzlei sind das Landeskriminalamt (LKA), die Staatsanwaltschaft Berlin und das Bundesamt für Sicherheit in der Informationstechnik (BSI) eingeschaltet. Aufgrund des Vorfalls sei ein Ermittlungsverfahren eingeleitet worden, sagte ein Sprecher der Staatsanwaltschaft der dpa. Laut Senat wurde ein Notfallkrisenstab unter Leitung des Landesbevollmächtigten für Informationssicherheit eingerichtet, der die weiteren Schritte koordiniert. Weitere Informationen teilte das Presse- und Informationsamt „aus ermittlungstaktischen Gründen“ nicht mit.

[…]

Der IT-Experte Manuel Atug kritisierte am Montag im RBB die Cybersicherheit der Verwaltung. Bei Anhörungen durch das Abgeordnetenhaus seien sich andere Experten und er einig gewesen, dass Berlin in diesem Bereich „sehr schlecht“ aufgestellt sei.

„Als man uns ein paar Jahre später noch mal gebeten hat, ein Update dazuzugeben, weil man ja gewisse Maßnahmen ergriffen hätte, haben wir feststellen müssen, dass die Cybersicherheit in Berlin noch schlechter geworden ist“, sagte Atug dem RBB. Verbesserungsvorschläge seien nicht umgesetzt worden.

Ach, hübsch.

Der Landesbevollmächtigter für Informationssicherheit des Landes Berlin

Die Formulierung oben war einem Leser aufgefallen, der deshalb wissen wollte, wer dieser Landesbevollmächtigte eigentlich ist.

Dazu schreibt mir der Leser, was mir jetzt auch selbst nicht aufgefallen wäre, dass ein gewisser Dr. Olaf Kroll-Peters Landesbevollmächtigter für Informationssicherheit des Landes Berlin, Senatskanzlei sei. Gar nicht so leicht zu finden, etwa hier, oder … nee, eine zweite Quelle habe ich dazu nicht gefunden.

Dazu kommentiert der Leser:

Er ist Koordinator der IT Sicherheit und Notfallmaßnahmen für die Behörden Berlins. Jetzt kapierste, warum das in Berlin noch desaströser ist mit IT Sicherheit.

Alles weitere siehe Internet zu Dr. Olaf Kroll-Peters Landesbevollmächtigter IT Sicherheit Berlin Senatskanzlei.

Und schaut man unter dem oben angegebenen Link als Speaker, findet man:

Dr. Olaf Kroll-Peters

Landesbevollmächtigter für Informationssicherheit des Landes Berlin, Senatskanzlei

Dr. Olaf Kroll-Peters studierte Informatik und Psychologie und promovierte 2010 am Lehrstuhl für Künstliche Intelligenz über das Verständnis von Informationssicherheit bei Menschen. Nach verschiedenen Stationen in der Privatwirtschaft – unter anderem als Abteilungsleiter bei Fresenius, der Deutschen Telekom und SAP sowie als Bereichsleiter und Lösungsdesigner für Sicherheitslösungen bei EnBW – wechselte er in den öffentlichen Dienst.

Seit rund zehn Jahren ist er in der Berliner Verwaltung tätig, als IT-Leiter im Amt für Statistik, als Sicherheitsbeauftragter am Kammergericht Berlin, wo er 2019 den folgenschweren Emotet-Angriff entdeckte, der das Gericht ein Jahr lang vom Netz nahm und danach als stellvertretender Sicherheitsbevollmächtigter bei der Senatsinnenverwaltung .Seit Juli ist Olaf Kroll-Peters Landesinformationssicherheitsbevollmächtigter des Landes Berlin bei der Senatskanzlei.

Wo ist jetzt die Pointe?

Ja, wird sich der geneigte Leser fragen, und das fragte ich mich im ersten Augenblick auch, wo ist da die Pointe? Ist doch schön, wenn sie so einen haben, ist ja offenbar bitter nötig.

Die Pointe kommt jetzt.

Der Leser wies nämlich auch darauf hin, dass ein gewisser Olaf Kroll-Peters, und es solle sich um denselben handeln, vor vielen Jahren schon mal Thema in meinem Blog war.

In meinen beiden Blogs, um genauer zu sein, denn für einige Jahre hatte ich ja für die akademischen Themen noch das zweite Blog Forschungsmafia.

Zuerst am 24.2.2014 auf Forschungsmafia: TU Berlin: Telekom-Fake-Dissertation in IT-Sicherheit

Inhalt meines damaligen Artikels: Die Dissertation ist so grauenhaft schlecht, dass mir arge Zweifel kamen, ob Olaf Kroll-Peters oder die Prüfer überhaupt wussten, was IT-Sicherheit ist. Leeres Geschwafel um Fragen wie, ob eine Firewall leicht bedienbar und benutzerfreundlich ist. Dafür aber alles im Großraum Telekom.

Das stank damals ganz gewaltig nach einer eingekauften oder sonst irgendwie gedeichselten Firmen-Gratis-Dissertation ohne Inhalt.

Der Knackpunkt dabei ist, dass der ja auch Psychologie studiert hatte, und dann einfach versucht hatte, IT-Sicherheit als psychologisches Phänomen zu beschrieben. So, wie die ganzen Gender-Studies-Quotentussis meinen, alles mit Gender Studies erklären zu können.

Und so kam man darin zu dem Schluss, dass der wesentlichen Punkt der IT-Sicherheit die Usability sei, die sei das Wichtigste, weil ich Sicherheit doch an Laien aller Alterstufen richte.

Mein damaliges Fazit:

Auch methodisch ist die Arbeit völliger Murks. Denn wenn man schon behauptet, dass durch verbesserte Benutzeroberflächen bessere IT-Sicherheit eintritt, müsste man auch eine Vergleichsgruppe haben. Vielleicht ist das Bedürfnis der Leute auch einfach nur dadurch gestiegen, dass man stundenlang im Labor auf sie eingeredet hat. Vielleicht hat es mit der Software und den Ratespielen gar nichts zu tun.

Das Fazit der Arbeit ist nicht nur konfus und nicht greifbar, es ist auch willkürlich. Und es ist auch kein Erkenntnisfortschritt, wie bei Promotionen gefordert, denn man ist hinterher kein Stück schlauer, wie das denn jetzt gehen soll. Anders gesagt: Er behauptet, dass etwas wichtig und nötig wäre, aber sagt nicht, wie man es macht. Völlig wertlos.

Das ist hanebüchen. Das Ding kommt mir in dreierlei Hinsicht völlig laienhaft und dilettantisch vor:

• Prüfling und Prüfer haben offenbar keine Ahnung von IT-Sicherheit
• Prüfling und Prüfer haben offenbar keine Ahnung von Informatik
• Prüfling und Prüfer haben offenbar keine Ahnung von wissenschaftlichem Arbeiten

Das Ding stinkt gewaltig. Und alles im Telekom-Umfeld.

Das hat überhaupt nichts mit wissenschaftlichem Arbeiten zu tun. Da lässt die Telekom so zur Werbung ein paar Programme auf Brauchbarkeit testen und mal ein bisschen drüber schwafeln. Dass das keine wissenschaftliche Tätigkeit ist, zeigt sich schon daran, dass das normalerweise gar nicht an Universitäten läuft, sondern auf dem freien Markt von Dienstleistern angeboten wird. (Weiß ich, ich war auf Seiten der Auftraggeber selbst schon bei solchen Tests dabei und habe mir einen halben Tag lang angeschaut, wie man Leute bei der Benutzung von Software filmt und fragt, ob sie damit klarkommen und was sie dabei denken.) Das ist keine wissenschaftliche Arbeit. Das ist eine gewöhnliche Dienstleistung. Nur mit dem Unterschied, dass sie in der Wirtschaft normal bezahlt wird, während man an den Universitäten dafür die Billiglöhner des wissenschaftlichen Prekariats einspannt.

Anscheinend zahlt die Telekom da einiges an die TU (aber vermutlich immer noch deutlich weniger als einem professionellen Dienstleister, der übrigens auch weit bessere Ergebnisse abliefern würde), und kann dafür anscheinend x-beliebige Leute in die Professuren setzen und nach Lust und Laune Doktorgrade verschleudern.

Sagt viel über das wissenschaftliche Niveau der TU Berlin.

Dann ist die IT-Sicherheit der Stadt Berlin ja in allerbesten Händen. Was kann da schon schief gehen?

Oder wie man heute so sagt: Quality is a myth.