aus: vorg\u00e4nge Nr. 206\/207 (Heft 2-3\/2014), S. 82-86<\/p>\n
(Red.)In ihren bisherigen Versuchen, die NSA-Sp\u00e4haff\u00e4re aufzukl\u00e4ren, betreibt die Bundesregierung viel Heimlichtuerei: Zu den technischen Details der amerikanisch\/britischen Abh\u00f6rprogramme k\u00f6nne man nichts sagen; und sofern die Techniken doch bekannt sind (weil deutsche Beh\u00f6rden sie auch nutzen) will man aus Sicherheitsgr\u00fcnden keine Details verraten. Dabei ist die Telekommunikations\u00fcberwachung der beste Beleg daf\u00fcr, wie sich konspirative \u00dcberwachungstechnologien einer transparenten Kontrolle entziehen und tendenziell verselbst\u00e4ndigen. Geheime Sicherheitstechnologien sind ein Sicherheitsrisiko, denn ihre Geheimhaltung macht sie selbst anf\u00e4llig f\u00fcr Angriffe Dritter, die L\u00fccken in den \u00dcberwachungssystemen ausnutzen k\u00f6nnen.
Linus Neumann skizziert in seinem Essay, woher eigentlich die Sicherheitsl\u00fccken kommen, die Geheimdienste wie Kriminelle f\u00fcr ihre Angriffe auf vertrauliche Telekommunikationen nutzen. F\u00fcr eine echte Sicherheit sei deshalb ein Wandel der Sicherheitskultur notwendig, der nicht die Geheimhaltung, sondern die \u00f6ffentliche Kontrolle der zugrundeliegenden Technologien (und Verfahren) zum Leitbild macht. Neben den ganzen politischen wie rechtlichen Gr\u00fcnden f\u00fcr die \u00f6ffentliche Kontrolle der Staatsgewalt sprechen nach seiner Auffassung auch technische Aspekte daf\u00fcr, Sicherheit als Aufgabe der \u00d6ffentlichkeit zu verstehen und in deren Obhut zu stellen. <\/i><\/p>\n
Mit der Massen\u00fcberwachung durch Geheimdienste und das Bekanntwerden immer neuer, schwerwiegender IT-Sicherheitsl\u00fccken steigt der Druck auf die Bundesregierung wirksame Schutzma\u00dfnahmen f\u00fcr sichere Kommunikation und Nutzung von Computern durch B\u00fcrger_innen und Wirtschaft zu ergreifen.<\/p>\n
Dazu ist n\u00f6tig zu verstehen, wie Sicherheitsl\u00fccken zustande kommen und wie sie verhindert werden k\u00f6nnen. Aus diesem Verst\u00e4ndnis heraus k\u00f6nnen die notwendigen politischen Weichenstellungen folgen, die weiter unten vorgestellt werden.<\/p>\n
Der einfache Bug<\/p>\n
Die gro\u00dfe Mehrheit von Sicherheitsl\u00fccken in heutigen Software-und Kommunikationssystemen entsteht durch simple Programmierfehler („Bugs“). Die komplexe Logik der Programme bildet sich in Millionen von Zeilen Programmcode ab, die von gro\u00dfen Teams geschrieben werden. Sie alle zu lesen und ihre gegenseitigen Abh\u00e4ngigkeiten und Referenzierungen vollst\u00e4ndig zu durchdringen, ist Einzelpersonen kaum m\u00f6glich. Einzelne Programmteile („Routinen“) der Software verlassen sich auf das korrekte Funktionieren anderer, bestimmte Vorbedingungen werden angenommen, aber an anderer Stelle nicht sichergestellt. So entstehen Bedingungen, die ein\/e Angreifer_in durch vom Programm unerwartetes Verhalten ausl\u00f6sen, und so seine Integrit\u00e4t unterwandern kann. H\u00e4ufig ist der notwendige „Fix“, also die Reparatur des Programms, nur das L\u00f6schen oder Hinzuf\u00fcgen einer einzelnen Zeile, wie der inzwischen ber\u00fchmt gewordenen Zeile „goto fail;“ in Apples Implementierung der SSL-Verschl\u00fcsselung, die das gesamte Sicherheitsmodell in sich zusammenbrechen lie\u00df.<\/p>\n
Backdoors und „Bugdoors“<\/p>\n
Oft werden in Programme, Anwendungen und Apps auch absichtliche Hintert\u00fcren eingebaut, die den Entwickler_innen oder staatlichen Stellen eine M\u00f6glichkeit des Fernzugriffs (also die Umgehung aller Sicherheitsma\u00dfnahmen) bieten sollen. Da immer auch mit dem Entdecken solcher Backdoors gerechnet werden muss, werden diese oft so gestaltet, dass ihre absichtliche Platzierung glaubhaft abzustreiten ist. \u00c4u\u00dferlich \u00e4hneln sie daher nicht selten versehentlichen Bugs (Programmierfehlern), was den sch\u00f6nen Begriff der „Bugdoor“ gepr\u00e4gt hat.<\/p>\n
Absichtliche Design-Schw\u00e4chen<\/p>\n
Insbesondere in Kommunikationssystemen werden Angriffsfl\u00e4chen jedoch h\u00e4ufig schon spezifiziert (geplant), bevor \u00fcberhaupt eine Zeile Programmcode geschrieben ist: Selbstverst\u00e4ndlich ist jeder Telefonanbieter in der Lage, alle Telefonate aller Kund_innen abzuh\u00f6ren und selbstverst\u00e4ndlich sind alle E-Mail-Anbieter in der Lage, alle E-Mails aller Kund_innen zu lesen. Das gilt nat\u00fcrlich ebenso f\u00fcr die Sicherheitsbeh\u00f6rden, mit denen der Anbieter kooperiert, wie f\u00fcr staatliche Stellen oder kriminelle Angreifer_innen, die den Anbieter unterwandern. Da die Massen\u00fcberwachung m\u00f6glich ist, findet sie auch statt.<\/p>\n
Doch das muss nicht so sein: Kommunikationssysteme, die ihre Nutzer_innen auch vor dem Zugriff durch den Mail- oder Telekommunikationsanbieter sch\u00fctzen, sind zwar m\u00f6glich, aber ihre Verbreitung von keiner Regierung dieser Welt wirklich gew\u00fcnscht. Zu gro\u00df ist die Sorge, allen Menschen ein nicht \u00fcberwachbares Kommunikationsmittel zur Verf\u00fcgung zu stellen und die eigenen und freundschaftlich verbundenen Geheimdienste in ihrer \u00dcberwachung zu beschr\u00e4nken.<\/p>\n
Das System De-Mail, als „sichere Alternative zur E-Mail“ beworben, ist hierf\u00fcr das beste Beispiel: Nicht nur bietet es keine sichere Verschl\u00fcsselung, es wurde zudem unter Beteiligung der selben US-amerikanischen Firma entwickelt, die auch an der Entwicklung des Staatstrojaners beteiligt ist und in den USA einer der gr\u00f6\u00dften Zulieferer der NSA ist: der Computer Sciences Corporation, kurz CSC.<\/p>\n
Um eine verl\u00e4ssliche und sichere Kommunikation zu erm\u00f6glichen, m\u00fcssen alle drei Arten von Sicherheitsl\u00fccken einged\u00e4mmt werden: unabsichtliche Bugs, absichtliche Backdoors und schon im Design eingeplante Schw\u00e4chen. Hierzu gibt es mehrere Ans\u00e4tze, die eine Politik, die IT-Sicherheit und sichere Kommunikation f\u00f6rdern will, umsetzen sollte:<\/p>\n
1) Open-Source-Software f\u00f6rdern<\/p>\n
Das Finden von Bugs und Backdoors ist eine sehr m\u00fchselige Arbeit, die enorm erleichtert wird, wenn nicht erst das fertige Programm gepr\u00fcft, sondern sein zugrundeliegender Programm-Quelltext gelesen werden kann. Nur bei einer Software, deren vollst\u00e4ndiger Quelltext offen liegt, besteht \u00fcberhaupt die Basis f\u00fcr ein Vertrauen in deren Integrit\u00e4t. Denn wie wir alle wissen, ist Vertrauen gut, aber Kontrolle besser. Genau diese \u00f6ffentliche Kontrolle verweigern jedoch die meisten kommerziellen Anbieter, da sie das Abflie\u00dfen ihrer Entwicklungen an die Konkurrenz f\u00fcrchten: Wer den Quelltext hat, kann die Software weiterentwickeln, verbessern oder ver\u00e4ndern. Das w\u00e4re zwar im Interesse der Allgemeinheit, nicht jedoch im Interesse des Anbieters.<\/p>\n
Hier gilt es, einerseits kommerzielle Anreize zur Open-Source-Entwicklung zu bieten, andererseits entsprechende Bedingungen f\u00fcr die Anbieter von sicherheitsrelevanter Software zu setzen: Auch heute noch operieren sie gr\u00f6\u00dftenteils frei von jeglicher Haftung f\u00fcr ihr intransparentes Produkt, und somit ohne Anreiz zur nennenswerten Qualit\u00e4tssicherung.<\/p>\n
2) Den Schwarzmarkt trockenlegen<\/p>\n
Wer mit seiner F\u00e4higkeit zum Finden von Sicherheitsl\u00fccken den Lebensunterhalt bestreiten m\u00f6chte, dem bieten sich heute zwei M\u00f6glichkeiten:<\/p>\n
Ein solides mittelst\u00e4ndisches Auskommen hat, wer als Dienstleister_in Sicherheitspr\u00fcfungen bei Dienstanbietern und Software-Schmieden durchf\u00fchrt und sich im Anschluss an seine Untersuchung den b\u00fcrokratischen und firmenpolitischen Diskussionen um die Behebung der entdeckten Probleme stellt.<\/p>\n
Wer ethisch flexibler ist, dem winken auf dem Schwarzmarkt sechsstellige Betr\u00e4ge f\u00fcr das Finden von gro\u00dfen Sicherheitsl\u00fccken in weit verbreiteter Software. Die f\u00fcrstliche Entlohnung entsch\u00e4digt f\u00fcr die Gewissensbisse, weil die entdeckte L\u00fccke k\u00fcnftig nicht geschlossen, sondern von Kriminellen und\/oder Geheimdiensten ausgenutzt wird. Letztere sind dabei die treibende Kraft hinter den hohen Preisen auf diesem moralisch verwerflichen Markt.<\/p>\n
Hier gilt es, einen Riegel vorzuschieben: Die staatliche Subventionierung des Schwarzmarkts muss unterbunden und alle staatlichen Stellen m\u00fcssen verpflichtet werden, beim Bekanntwerden von Sicherheitsl\u00fccken kompromisslos auf ihre Beseitigung hinzuarbeiten – und nicht auf ihre Ausnutzung.<\/p>\n
3) Eine offene Sicherheitskultur pflegen<\/p>\n
Nat\u00fcrlich werden Sicherheitsl\u00fccken nicht nur wegen kommerzieller Anreize entdeckt. Eine weltweite Community begeisterter Hacker, Nerds und Sicherheitsforscher_innen sucht, findet und beseitigt Sicherheitsl\u00fccken ohne direkte monet\u00e4re Kompensation. Namentliche Erw\u00e4hnungen in „Security Bulletins“, die Nutzer_innen auf L\u00fccken und erh\u00e4ltliche Updates hinweisen, sind oft der einzige Dank, der ihnen f\u00fcr ihre Dienste an der Gemeinschaft zuteil wird.<\/p>\n
Immer beliebter wird daher das Ausloben von „Kopfgeld“ („Bug Bountys“) auf Sicherheitsl\u00fccken in kritischer Open-Source-Software: Wer einen Fehler definierter Schwere findet, wird daf\u00fcr entlohnt. Vom entstehenden Wettkampf der Forschenden profitiert die Allgemeinheit. Um dies zu st\u00e4rken, k\u00f6nnte das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) sich an der Finanzierung dieser „Bug Bountys“ beteiligen und so Open-Source-Software sicherer machen.<\/p>\n
4) Eine unabh\u00e4ngige Sicherheitspolitik erm\u00f6glichen<\/p>\n
Mit dem Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) verf\u00fcgt die Bundesregierung \u00fcber eine Institution, die aktuell viele M\u00f6glichkeiten ungenutzt l\u00e4sst, auf den \u00fcberf\u00e4lligen Paradigmenwechsel in der IT-Sicherheit hinzuwirken. Dem Verantwortungsbereich des Innenministeriums unterliegend, kann das BSI in seinen Empfehlungen, Spezifizierungen und Zertifizierungen nie wirklich frei agieren. Das mit einer staatlichen Abh\u00f6rschnittstelle versehene und zusammen mit einem NSA-Dienstleister entwickelte De-Mail-System ist mit Fug und Recht zur Blamage f\u00fcr das BSI geworden.<\/p>\n
Solange das BSI dem Innenminister untersteht, ist trotz aller Lippenbekenntnisse nicht damit zu rechnen, dass dort k\u00fcnftig Spezifikationen ohne absichtliche Design- Schw\u00e4chen entwickelt werden. Ein starkes, unabh\u00e4ngiges BSI mit unzweideutigem Sicherheitsauftrag – und zwar auch gegen staatliche Angreifer – ist der einzige Weg, das notwendige Vertrauen im Bereich der IT-Sicherheit aufzubauen und Sicherheitsversprechen auch halten zu k\u00f6nnen.<\/p>\n
2008 formulierte das Bundesverfassungsgericht das Grundrecht auf Gew\u00e4hrleistung der Vertraulichkeit und Integrit\u00e4t informationstechnischer Systeme, das so genannte Computergrundrecht. Bisher haben staatliche Stellen nur halbherzige und unglaubw\u00fcrdige Schritte zu seiner Sicherung unternommen. Das schockierende Ausma\u00df der Snowden-Enth\u00fcllungen ist eine direkte Folge der bisherigen Politik und ein weiteres Warnsignal an die Bundesregierung, die Sicherheit der B\u00fcrgerinnen und B\u00fcrger in Sachen Computernutzung und Kommunikation nicht unn\u00f6tig der vermeintlichen Sicherheit des Staates zu opfern.<\/p>\n
Dieser Artikel steht unter einer Creative Commons Lizenz .
Der Artikel wurde zuerst bei der Heinrich-B\u00f6ll-Stiftung ver\u00f6ffentlicht. Der Nachdruck erfolgt mit freundlicher Genehmigung des Autors.<\/i><\/p>\n
LINUS\u00a0NEUMANN\u00a0<\/b>\u00a0 ist Diplompsychologe und arbeitet bei einem Unternehmen zur IT-Sicherheit in Berlin. Er ist Mitglied des Chaos Computer Clubs und vertritt diesen als Sachverst\u00e4ndiger. Dar\u00fcber hinaus geh\u00f6rt er seit 2010 zur Redaktion von netzpolitik.org und erstellt gemeinsam mit Tim Pritlove den w\u00f6chentlichen Podcast „Logbuch: Netzpolitik“. <\/i><\/p>\n","protected":false},"featured_media":0,"template":"","categories":[],"tags":[667],"autoren":[2087],"publikationen":[1443],"class_list":["post-11584","publikation","type-publikation","status-publish","hentry","tag-vorgaenge-artikel","autoren-linus-neumann","publikationen-206-207"],"acf":[],"yoast_head":"\n