Zum Bundestags-Hack
Warum es echte Sicherheit nicht geben kann
Fortsetzung des Artikels von Teil 1
IT ist generell unsicher
Schon ganz »normale« IT-Systeme – also PCs und Smartphones mit der darauf laufenden Software – sind nicht nur kompliziert, sondern komplex: Sie produzieren Effekte, die von ihren Entwicklern und Bedienern nicht vorhergesehen werden können. Es gibt keine Abgrenzung in übersichtliche Einheiten, keine klare Ordnung. Ein System, auf dem nach und nach Software installiert wird, gleicht einem Spaghetti-Konstrukt. Selbst Experten können das Verhalten eines solchen Systems nicht modellieren. Infolge der Komplexität sind die Systemeigenschaften nur begrenzt prüfbar.
Die Konsequenz daraus: Fehlverhalten und Angriffe sind kaum erkennbar. Im Grundrauschen der Verhaltensvielfalt eines Computersystems ist das Erkennen von Manipulationen sehr schwer. Wenn die Angreifer sich vorsichtig verhalten, nur wenige und gezielte Daten abgreifen, keine große Bandbreite verbrauchen, nicht zu viele Kommunikationsverbindungen aufbauen, dann wird ihr Treiben lange unerkannt bleiben. Selbst isolierte Systeme, die nicht an ein Netzwerk angeschlossen sind, sind angreifbar. All das hat der Stuxnet-Angriff auf die Urananreicherungsanlage im Iran gezeigt.
Mit konventionellen Sicherheitstechniken lassen sich konventionelle Angreifer abwehren. Nicht aber starke Angreifer wie organisierte Kriminalität, Nachrichtendienste oder Militärs. Sie verpflichten i.d.R. die besten verfügbaren Experten. Insbesondere die Militärs verfügen über Budgets, die man im Vergleich zu den klammen IT-Beschaffungsbudgets getrost als »unbegrenzt« bezeichnen kann. Für das Projekt »GENIE« hatte die NSA z.B. einen Etat von 652 Millionen Dollar zur Verfügung, der dazu diente, Schwachstellen in Standardprodukte einzubauen. Dokumentierte Fälle sind RSA, Huawei und Belgacom. Obendrein muss man davon ausgehen, dass viele Hersteller von Nachrichtendiensten unterwandert sind. Das haben die von Edward Snowden offengelegten Dokumente gezeigt.
Die Frage ist allerdings, ob sich mit den Standard-Methoden der IT-Sicherheit überhaupt viel ausrichten lässt. Denn um Sicherheitslücken in Software zu schließen, müssen diese erst gefunden werden. Laut Gaycken sind nach umfangreichen Analysen und Tests etwa 0,004 Prozent bis 1 Prozent des Codes, geschätzt nach Codezeilen, kritische Sicherheitslücken, die einen vollen und oft dauerhaften Systemzugang ermöglichen. Ein modernes Betriebssystem besteht aus Millionen von Codezeilen (Windows 7: ca. 40 Mio.), was zu einer unkontrollierbar hohen Anzahl von bis zu einigen zehntausend Sicherheitslücken führt. Aus all diesen Gründen bewertet Dr. Sandro Gaycken die aktuelle Informationstechnik als zutiefst unsicher wenn es um die Abwehr von starken Akteuren geht.
Man muss sich nur mal eines klar machen: Ein Airbus-Militärtransporter A400M kostet rund 120 Millionen Euro. Die Bundeswehr hat 53 Stück davon bestellt. Das sind die Größenordnungen, die in Militärtechnik investiert wird. Wenn man nur einen Bruchteil davon in Cyber-Angriffstechniken investiert, lässt sich damit ein viel größerer Schaden anrichten, als ein abgestürzter Airbus es je könnte – Menschenleben einmal außen vor gelassen. Auch in die Cyber-Verteidigung wird die Bundesregierung also mehr Geld stecken müssen als bisher, um es Angreifern wenigstens so schwer wie möglich zu machen, wenn ein absoluter Schutz schon nicht möglich ist.
- Warum es echte Sicherheit nicht geben kann
- IT ist generell unsicher
Lesen Sie mehr zum Thema
