Der NSA-Überwachungsskandal hat deutlich gemacht, in welchem Umfang und mit welcher Reichweite westliche Geheimdienste die Überwachung der Kommunikationsnetze betreiben. Der damit verbundene finanzielle, technische und personelle Aufwand lässt erahnen, dass es dabei keineswegs nur um die Ausforschung der Privatsphäre mehr oder weniger ahnungsloser Bürger_innen geht. Die Zeiten, in denen der Cyberspace nur dem Gedankenaustausch diente, sind längst vorbei; die Datennetze sind zur zentralen Infrastruktur unserer Gesellschaft geworden. Ihre Überwachung zielt deshalb nicht nur auf jene, die per E-Mail, Chat oder Onlineplattformen kommunizieren, sondern kann buchstäblich jede_n treffen: ob am Bankautomaten, in der Arztpraxis, bei der Arbeit oder im vernetzten Heim. Der „Cyberspace“ ist zu einem Ort geworden, an dem sich neue Formen der Kriminalität, des Krieges und der terroristischen Bedrohung entwickeln, aber auch neue Strategien der Sicherheit erprobt werden. Diese Ausgabe der vorgänge widmet sich dem Thema Cybersecurity, der zunehmenden sicherheitspolitischen Durchdringung des digitalen Raumes.

Den Themenschwerpunkt eröffnen Stefan Hügel und Dietrich Meyer-Ebrecht mit einem Beitrag, in dem sie den rationalen Kern der Debatte um Cybersecurity herausarbeiten wollen. Sie gehen der Frage nach, ob es sich bei den immer wieder beschworenen Gefahren in der digitalen Welt um „Panikmache oder unterschätzte Gefahren“ handelt. Die Rede von den ebenso vielfältigen wie akuten Gefahren im Cyberspace gehört zum sicherheitspolitischen Diskurs dazu – sie wird nicht selten benutzt, um neue, weitergehende Überwachungsmaßnahmen zu rechtfertigen.(1) Für die beiden Autoren steht noch nicht fest, ob sich im Cyberspace ein „neuer wilder Westen“ auftut. Ihr Beitrag führt in zentrale Probleme der Cybersecurity ein und erklärt die wichtigsten Begriffe: Woher rührt die grundsätzliche Verletzbarkeit informationstechnischer Systeme? Welche Arten von Angriffen auf IT-Infrastruktur lassen sich unterscheiden und wer steckt (möglicherweise) dahinter? Welche Optionen der Absicherung von IT-Systemen gibt es?

Welche technische Möglichkeiten für den Selbstdatenschutz in der Ära nach Snowden noch existieren, dieser Frage geht Rüdiger Weis in seinem Beitrag über „Kryptographie, Open Source und Gesellschaft“ nach. Die Grundannahme des Kryptologen ist ernüchternd: einmal gespeicherte Daten in IT-Anlagen können auf technische Weise nicht (absolut) geschützt werden. Deshalb sind Datensparsamkeit und eine Stärkung des Datenschutzrechts unabdingbar für sichere Kommunikation. Weis listet auf, welche Sicherheitsstandards nach den Snowden-Dokumenten als kompromittiert und damit als unsicher gelten – um zugleich praktische Tipps zu geben, was beim Einsatz kryptografischer Verfahren (der nach wie vor unbedingt zu empfehlen ist) beachtet werden muss und welche Verfahren nach derzeitigem Stand von Wissenschaft, Technik und Geheimdienstfähigkeiten noch eine gewisse Sicherheit bieten.

Dass Sicherheit im Cyberspace nicht allein mit technischen Mitteln, sondern auch politischer und rechtlicher Rahmenbedingungen bedarf, unterstreicht auch Martin Kutscha. Er hebt die Bedeutung der (Grund-)Rechte für die Cybersecurity hervor. Sicherheit im Netz dürfe sich nicht allein auf repressive Aspekte, etwa die Gewährleistung einer lückenlosen Strafverfolgung, beschränken – die Sicherheit, Vertraulichkeit und Integrität der Kommunikationssysteme sei für die Nutzer_innen mindestens ebenso wichtig. Kutscha untersucht, inwiefern die bisherigen Cybersicherheitsstrategien überhaupt mit der Gewährleistung grundrechtlicher Freiheiten vereinbar sind. Seine Bilanz fällt negativ aus: er geht davon aus, dass das Internet bereits auf dem Weg zu einem grundrechtsfreien Raum sei.

Diese Zweifel nähren auch Ute Bernhardt und Ingo Ruhmann, die in ihrem Artikel bisherige Erkenntnisse über durchgeführte bzw. vorbereitete Cyberangriffe zusammenfassen. Dabei wird deutlich, dass die Entwicklung und der Einsatz sogenannter Cyber-Angriffswaffen sehr schnell voranschreitet. Vergleicht man die Etats, die mittlerweile für Cyberangriffe einerseits und Verteidigungs- bzw. Aufklärungsbemühungen andererseits zur Verfügung gestellt werden, zeigt sich ein deutliches Übergewicht der Ressourcen für militärische bzw. geheimdienstliche Angriffe im Cyberspace. Das die Militarisierung der digitalen Welt keine Vision einer fernen Zukunft ist, sondern sehr real vorangetrieben wird, dokumentiert nicht zuletzt das Talinn-Manual, welches Michael Bothe vorstellt. Das Manual gibt wieder, mit welchen Auswirkungen eines Cyberwarfare zu rechnen ist und wie die völkerrechtlichen Regeln für die Begrenzung bewaffneter Konflikte auf die digitale Kriegsführung übertragen werden können. Das von einer Expertenkommission erstellte Dokument verdeutlicht die Bemühungen der NATO um Regeln für die künftige Cyberkriegsführung.

Neben Militär und Geheimdiensten existieren weitere Akteure der Cybersicherheit, die in den drei folgenden Beiträgen vorgestellt werden: Matthias Monroy informiert über die aktuellen Cybersicherheits-Initiativen der europäischen Polizeiagentur Europol und weiterer EU-Einrichtungen. Er geht dabei auch auf die beteiligten deutschen Behörden ein – allen voran das Bundeskriminalamt, dass in Sachen Internetüberwachung eine Vorreiterrolle in Europa einnehme. Welcher Logik die digitale Sicherheitspolitik folgt, erschließt sich nicht, solange man nur auf die staatlichen Akteure schaut. Cybersecurity ist längst zum Geschäft geworden, hinter dem eine einflussreiche Industrie steht. Wie eng parlamentarische Entscheidungen zur europäischen Sicherheitsforschung und industrielle Lobbybemühungen miteinander verwoben sind, beschreiben Martin Ehrenhauser und Alexander Sander. Ihr Beitrag fasst eine frühere Studie zum „Lobbyismus der Sicherheitsindustrie in der Europäischen Union“ der beiden Autoren zusammen. Eine gegenläufige Perspektive nimmt Markus Euskirchen ein, der als engagierter Beobachter sozialer Proteste im Internet über den sogenannten Hacktivismus schreibt, jene Form der Wiederaneignung der Technik, mit der Aktivist_innen ein freies Netz verteidigen wollen.

Abschließend stellen wir drei aktuelle sicherheitspolitische Initiativen vor, die die Koordinaten der Cybersecurity in Deutschland und Europa für die nächsten Jahre bestimmen werden: Zora Siebert skizziert, wie sich die EU-Kommission seit zwei Jahren um eine EU-weite Richtlinie für Netzsicherheit bemüht – und ihre Ansprüche nicht zuletzt dank massiver Lobbybemühungen immer weiter nach unten korrigiert hat. Der Deutsche Bundestag hat dagegen kürzlich ein IT-Sicherheitsgesetz verabschiedet, das am 25. Juli 2015 in Kraft trat. Stefan Hügel fasst die Kritik am neuen Gesetz zusammen, das erstmals für bestimmte Bereiche Meldepflichten für Störungen und fremde Eingriffe in deren IT-Systeme einführt – nach Einschätzung vieler Kritiker_innen jedoch kaum zu mehr Sicherheit im Cyberspace beitragen kann. Kurt Graulich schließlich kommentiert das gegenwärtig laufende Gesetzgebungsverfahren zur Wiedereinführung der Vorratsdatenspeicherung in Deutschland – nachdem der Europäische Gerichtshof die entsprechende EU-Richtlinie für nichtig erklärt und immer mehr EU-Staaten von dem Vorhaben Abstand nehmen. Warum die Daten so begehrt sind und weshalb die Vorratsdatenspeicherung gegen alle juristischen wie politischen Bedenken wieder eingeführt werden soll – das sollte nach der Lektüre dieser vorgänge deutlich werden; schließlich sind Benutzerdaten eine zentrale Ressource der Sicherheitspolitik.

Neben dem Schwerpunkt bietet die aktuelle Ausgabe weitere Beiträge zu bürgerrechtlichen Fragen unserer Zeit: Felix Herzog kritisiert in seinem Essay zunehmend „Moralische Kreuzzüge auf dem Gebiet des Sexualstrafrechts“ und bezieht sich dabei u.a. auf die Debatte um die Ausweitung des Straftatbestands der Vergewaltigung. Dazu berichtet Mara Kunz von einer Sachverständigenanhörung des Deutschen Bundestags, bei der sehr gegensätzliche Positionen zu mutmaßlichen Strafbarkeitslücken und der Wirksamkeit bzw. Angemessenheit eines schärferen Sexualstrafrechts vertreten wurden. Anna Luczak und John Philipp Thurn kommentieren die Entscheidung des Landesverfassungsgerichts von Sachsen-Anhalt zu verschiedenen Befugnissen des Sicherheits- und Ordnungsgesetzes. Till Müller-Heidelberg schließlich setzt sich kritisch mit einer Entscheidung des Bundesverfassungsgerichts zum kirchlichen Sonderarbeitsrecht auseinander. Die gesamte Redaktion wünscht Ihnen wie immer eine anregende Lektüre mit der neuen Ausgabe und freut sich über Ihre Kommentare und Kritiken.

Claudia Krieg und Sven Lüders
für die Redaktion

Heftvorschau:

Heft 210/211  Gesetzgebung zum Verbot der Suizidbeihilfe
Heft 212  Reflexhaftes Strafrecht

Anmerkungen:

(1) Jüngstes Beispiel ist die Erweiterung der Befugnisse zur geheimdienstlichen Kommunikationsüberwachung durch das „Gesetz zur Verbesserung der Zusammenarbeit im Bereich des Verfassungsschutzes“, mit dem BND, Verfassungsschutz und MAD internationale kriminelle, terroristische oder staatliche Angriffe „mittels Schadprogrammen oder vergleichbaren schädlich wirkenden informationstechnischen Mitteln“ abwehren sollen (s. BT-Drs. 18/4654 v. 20.4.2015).

Der Beitrag Editorial erschien zuerst auf Humanistische Union.

(Red.) Längst hat der Cyberspace seinen Charme als faszinierende neue Kommunikationswelt hinter sich gelassen. Die Risiken, die mit der kompletten Vernetzung fast aller Lebensbereiche einher gehen, sind erheblich. Überwachung, Kriegsführung und anderer Missbrauch sind nur einige Schattenseiten der Netzwelt, die Bürger- und Menschenrechtsgruppen deutlicher fokussieren sollten, so Stefan Hügel und Dietrich Meyer-Ebrecht.

Cyberspace ist das Synonym für den globalen Datenraum. ‚Cyber‘ ist die englische Kurzform für Kybernetik, die von Norbert Wiener begründete Wissenschaft von der Steuerung und Regelung von Maschinen, lebenden Organismen und sozialen Organisationen. Wenn dieser Bezug bei der Schöpfung des Begriffs noch nicht Pate gestanden haben mag, beschreibt er heute treffend das synergetische Zusammenwachsen unserer Gesellschaft mit der Informationstechnik. Das Substrat des Cyberspace war zunächst ein feinmaschiges weltumspannendes Netzwerk aus Kabelnetzen, terrestrischen Funknetzen, Kommunikationssatelliten, über das Kommunikationsdienste und verteilte Datenverarbeitung abgewickelt werden. Mittlerweile ist der Cyberspace jedoch weit hinausgewachsen über seine Rolle als Medium für den Informationsaustausch, denn Datenbanken von unermesslicher Speicherkapazität und Computerressourcen mit gigantischer Leistung sind zu unverzichtbaren Elementen des Cyberspace geworden. Und gierig greift unsere Zivilgesellschaft nach den vielfältigen, sich ständig erweiternden Optionen des Cyberspace. Kaum ein Lebensbereich bleibt ausgenommen und unangetastet. Sie begibt sich dabei aber auch in eine immer engere Abhängigkeit – und geht, im Verlass auf ein immer währendes und ungestörtes Funktionieren des Cyberspace und seiner Ressourcen, fundamentale Risiken ein.

Risiken

Ein prominentes Beispiel für die riskante Abhängigkeit von vernetzten IT-Systemen ist die Versorgung mit elektrischer Energie. Sie ist unverzichtbar für fast alle Lebensbereiche. Die Optimierung von Erzeugung, Transport und Verteilung wiederum bedarf einer komplexen vernetzten Steuerung, die mit den ‚smart meters‘ über das Internet schon bis in die Haushalte hineinreicht. Bereits 2010 hat sich das Büro für Technikfolgenabschätzung beim Deutschen Bundestag (TAB) in einer Studie das Szenario eines großräumigen Ausfalls der Stromversorgung vorgenommen, um die Gefährdung und Verletzbarkeit unserer Zivilgesellschaft deutlich zu machen: Ein Ausfall von wenigen Stunden Dauer zieht mindestens immense volkswirtschaftliche Kosten nach sich. Dauert ein großräumiger Ausfall Tage, geraten Menschenleben in akute Gefahr. Unruhen und Plünderungen sind bereits nach wenigen Wochen zu erwarten. Bei weiter anhaltendem Ausfall ist mit irreparablen Schäden wie nach konventionellen kriegerischen Angriffen zu rechnen.(1)

Die Energieversorgung ist ein Extremfall, denn von ihr hängen ausnahmslos alle lebenswichtigen Infrastruktureinrichtungen wie Trinkwasserversorgung, Mobilfunknetze oder Verkehrsleitsysteme für Straße, Schiene oder Luftraum ab. Deren Ausfälle werden weniger dramatisch, aber dennoch folgenreich sein. Allein ein länger anhaltender Verkehrskollaps kann das gesellschaftliche Leben empfindlich lahmlegen und nachhaltige Folgen haben, denn unsere Gesellschaft hat sich existentiell abhängig gemacht von einer auf Effizienz getrimmten just-in-time-Produktion und -Logistik, die von komplex vernetzten Rechenprozessen optimiert und gesteuert werden. Verharmlost werden dürfen selbst Eingriffe in Systeme von Behörden, Institutionen, Dienstleistungsunternehmen oder Medienanstalten nicht. Auch wenn sie keine direkten physischen Auswirkungen haben müssen, kann mittels Desinformation oder Störung von Verwaltungsprozessen eine Destabilisierung der Gesellschaft provoziert werden. Cybersicherheit wird zu einem brisanten Thema.

Ursachen

Die Ursachen für Systemausfall oder Fehlfunktion fallen in zwei Kategorien: Technikversagen oder Missbrauch. Der Gefahr eines Technikversagens kann technisch vorgebeugt werden, durch hohe Zuverlässigkeitsanforderungen und funktionale Redundanzen. Ungleich problematischer ist die Gefahr des Missbrauchs. Hinter einem Missbrauch stehen Menschen, die in Systeme einbrechen, um diese vorsätzlich zu manipulieren, zu stören oder zu zerstören.

Ein Systemeinbruch kann von außen erfolgen. Passwörter können mit brute-force-Methoden geknackt werden, speziell wenn sie nicht zu kompliziert aufgebaut sind. Effizienter ist es, nach Angriffspunkten in den Sicherungsmechanismen zu suchen, an denen man diese mit maßgeschneiderten Softwarewerkzeugen, so genannten Exploits, aushebeln kann. Mit einem hohen Maß an Kreativität und Fachkenntnis gepaart mit krimineller Energie spüren Angreifer_innen bisher unerkannte Angriffspunkte (‚Schwachstellen‘) der Software auf, die erst durch den Exploit zur ‚Sicherheitslücke’ werden – solange, bis der Exploit bekannt wird und die Software durch einen Work-around an dieser Schwachstelle ertüchtigt werden kann. Wie oft geargwöhnt wird, handelt es sich bei solchen Schwachstellen gar nicht einmal immer um Nachlässigkeiten in der Programmierung, auch wenn Software niemals völlig fehlerfrei sein wird. Vielmehr sehen sich Softwareentwickler_innen hier in der Rolle von Schach­spieler_ innen, die die Gegenzüge des Gegners über möglichst viele Spielzüge vorausdenken müssen. Nur hat dieses ‚Spiel‘ kein definitives Ende und keine festgelegten Regeln. Die hohe Komplexität der Systeme macht die Optionen der Angreifer unüberschaubar. Dies gilt auch für das Aufspüren eines anderen Einbruchsweges, den so genannten backdoors. Hierbei handelt es sich um versteckte Zutrittswege, die von Entwickler_innen in Betriebssysteme oder sogar in Firmware, aus eigener Neugier oder sogar im Auftrag staatlicher Stellen, heimlich eingebaut werden.

Eine weitere Kategorie von Einbruchswerkzeugen umgeht die Sicherungsmechanismen von innen heraus. Dazu gehören Computerviren, Würmer und Trojaner. Das Prinzip ist, über den regulären Datenverkehr unerkannt Schadsoftware einzuschleusen, beispielsweise eingebettet im Anhang einer E-Mail oder geladen bei Aufruf einer speziell manipulierten Webseite, eingefangen von präparierten USB-Sticks oder SD-Karten. Mitunter werden auch Systemkomponenten wie Router, Firewalls oder Festplatten vor ihrer Auslieferung an die Kund_innen abgefangen und mit Schadsoftware präpariert. Die eingeschleuste Schadsoftware kann dazu dienen, einen verdeckten Kommunikationskanal zu Angreifern herzustellen, über den das infizierte System manipuliert werden kann, vom heimlichen Auslesen von Daten bis zur vollständigen Übernahme der Kontrolle. Sie kann auch die zur Ausführung der beabsichtigten Schadfunktion notwendigen Programme eingebettet als so genannte Payload mit sich führen. Oder beides kombinieren. Ein Beispiel für eine besonders raffinierte Schadsoftware dieser Kategorie ist der Computerwurm Stuxnet, der sich über mobile Feldprogrammiergeräte in die von jedweden Netzen isolierten Prozesssteuerungen iranischer Urananreicherungsanlagen einschleusen konnte, um diese in Betriebszustände zu fahren, die sie einer zerstörerischen mechanischen Belastung aussetzen sollten.

Zur Erlangung vertraulicher Zugangsdaten spielt auch social engineering eine gewichtige Rolle. Einher geht dies meist mit der Ausschnüffelung des Privatlebens der Zielperson zur Erschleichung ihres Vertrauens oder zur Erpressung. Nicht zu unterschätzen sind die sogenannten Innentäter: Mitarbeiter_innen, die aus Enttäuschung über eine verpasste Beförderung, Verärgerung über den Vorgesetzten oder aus eigenen finanziellen Interessen ihre Zugangsprivilegien nutzen, um in den Systemen ihres eigenen Arbeitgebers Schäden zu verursachen.

Schutz

Technisch können wir Systeme gegen gewollte Angriffe und Eingriffe nur bedingt schützen. Zwei systemimmanente Phänomene spielen hier eine Rolle. Der Cyberspace ist ein Abstraktum, zumindest für Nutzer_innen ohne tiefe technische Kenntnisse. Was außerhalb des Smartphones oder hinter der Datensteckdose des Arbeitsplatzcomputers mit unseren Daten abläuft, bleibt uns verschlossen. Undurchsichtig bleibt, wo unsere Daten gespeichert, wo sie verarbeitet werden und was über die von uns gewollten Prozesse hinaus mit ihnen passiert (die Cloud heißt wohl nicht zufällig „Cloud“ – unsere Vorstellungen bleiben wolkig wie der Begriff). Das gilt ebenso für Menschen in entscheidenden Positionen in Politik und Wirtschaft, wenn sie nicht gerade über eine profunde IT-Fachbildung verfügen. Und selbst IT-Fachleute sind nur noch bedingt in der Lage, die Komplexität des Cyberspace zu durchschauen. Wenn die Vorstellungskraft für die Gefahren fehlt, wenn die Gefahren ebenso abstrakt bleiben wie das Medium, fallen tragfähige Entscheidungen über Sicherheitskonzepte, über konkrete Maßnahmen und Nachdruck für ihre Durchsetzung schwer. Kontraproduktiv kommt hinzu, dass sich das Verständnisdefizit auch auf die öffentliche Diskussion auswirkt. Sie schwankt zwischen den Extremen Panikmache und Unterschätzung oder gar Ausblenden der Gefahren.

Der zweite Punkt ist ein Antagonismus: Wenn ich mich in meinem Haus nicht einmauern will, wenn ich mich auch in der Außenwelt bewegen möchte, wenn ich auch mir genehme Besucher_innen einlassen möchte, muss ich Türen vorsehen, die ich zwar kontrolliere, doch sobald eine Tür im Haus ist, wird es Mittel geben, sie missbräuchlich zu öffnen. Der Aufwand steigt, je perfektionierter die Sicherungsmaßnahmen werden, und damit wachsen auch die Einschränkungen, die ich mir selber auferlegen muss. Der chilenische Systembiologe und Philosoph Humberto Maturana hat diesen Antagonismus zu einem grundlegenden Merkmal lebender Systeme erklärt: Die biologische Zelle braucht eine Hülle, die sie gegenüber ihrer Umgebung schützt. Die Hülle muss jedoch von innen nach außen und von außen nach innen durchlässig sein können – kontrolliert. Denn die Zelle hat einen Stoffwechsel, und sie muss sich über Signale (hier Botenstoffe) mit ihrer Umgebung arrangieren. Wie im biologischen Mikrokosmos gelte dies, so Maturana, ebenso für soziologische, ökonomische, politische Systeme – ‚lebende Systeme’ im Sinne Maturanas. Wir können dieses Paradigma auf den Cyberspace übertragen. Er ist ein System aus Systemen, die jedes für sich erst durch den Informationsaustausch untereinander ihre funktionale Mächtigkeit gewinnen. Synergie führt zu einer Gesamtfunktionalität, die über die Summe der Einzelfunktionalitäten hinausgeht. Sie führt jedoch auch zu einem qualitativen Sprung in der Komplexität. In seinen unüberschaubaren Wechselwirkungen mit der Lebendwelt wird der Cyberspace gleichsam zu einem maturana’schen Lebendsystem. Zwischen seinen Teilsystemen müssen wir den Informationsaustausch zulassen, und damit gehen wir unvermeidbar das Risiko ein, dass die notwendigen Öffnungen missbraucht werden können.

Natürlich sind diese Türen gegen unerwünschte Eindringlinge mittlerweile verriegelt. Sorgfältig kontrolliert werden die eingehenden und ausgehenden Datenströme. Dass sich dennoch immer wieder neue Möglichkeiten zur Umgehung der Kontrollen ergeben, hat auch mit der Entwicklungsgeschichte des Internet zu tun. Es gab eine Zeit, als Computernetze noch ein Experimentierfeld waren und in der Gemeinde der an der Entwicklung Beteiligten ein professionelles Vertrauen herrschte, wie in einer abgelegenen Dorfgemeinschaft, in der man das Fahrrad nichtangeschlossen an der Hauswand stehen lassen darf, die Haustür unverschlossen bleiben darf. In dieser Zeit wurden die grundlegenden Mechanismen für den Datenaustausch zwischen vernetzten Computern konzipiert, ohne Vorstellung über wachsende Anforderungen an ihre Schutzbedürftigkeit, wenn das Netz einmal wachsen und die abgeschlossene Domäne der Wissenschaft verlassen würde. In seiner Komplexität kann das Internet als ein kontinuierliches Experiment betrachtet werden, das sich evolutionär auf der Basis seiner Urkonzepte entwickelt hat und ständig weiterentwickelt. Alle nachträglich konzipierten Sicherungsmechanismen müssen auf diese frühen Konzepte aufgesetzt werden. Sie werden dadurch komplizierter als notwendig und bieten in der Folge mehr Ansatzpunkte, um sie missbräuchlich zu umgehen.

Ein radikaler Vorschlag ist die Entnetzung, also die physische Trennung vom öffentlichen Netz, gerade bei kritischen Systemen.(2) In der Tat stellt sich die Frage, ob solche Systeme, wie beispielsweise (Kern-) Kraftwerke mit dem weltweiten Internet vernetzt und damit für Angreifer technisch weltweit zugänglich sein müssen. Mindestens für besonders kritische (Teil-) Systeme kann dies ein Ansatz sein. Doch in vielen Fällen ist es heute schlicht nicht mehr realistisch, diese Trennung vorzunehmen, wenn die zugrundeliegenden Dienste immer stärker miteinander vernetzt sein müssen. Und gegen physisch eingeschleuste Datenträger, wie beim erwähnten Stuxnet, sind auch solche Maßnahmen machtlos.

Letztlich ist vollständige Sicherheit – wie überall – nicht zu erreichen. Das Ziel der IT-Sicherheit ist, zu minimalen eigenen Kosten die Kosten für Angreifer zu maximieren – bis ein Angriff nicht mehr wirtschaftlich ist. Doch müssen wir angesichts eines Gegners wie der NSA, die über praktisch unbegrenzte Ressourcen verfügt, diese Zielsetzung nicht überdenken?

Akteure

Wer sind die Angreifer? Und was sind ihre Ziele? Cybercrime ist die erste Kategorie – Kriminelle, die in Computernetze eindringen, um Daten zu stehlen, illegale Geldtransfers zu veranlassen oder Systeme mit Schadsoftware in erpresserischer Absicht zu infiltrieren. Bedrohlicher ist eine zweite Kategorie: terroristische Angriffe auf Systeme im Internet, Cyberterrorism. Einen kleinen Vorgeschmack haben wir mit der Lahmlegung des Computernetzwerks des französischen Fernsehsenders TV5 erlebt. Lediglich die zeitweilige Störung einer Fernsehsendung? Aber: Wer heute einen TV-Sender hackt, könne morgen die Stromversorgung lahmlegen, so Falk Garbsch, Sprecher des Chaos Computer Club.(3) Die Barriere ist zwar höher, aber nicht unüberwindbar. Dass Terrorist_innen nicht über die für aufwändigere Cyberangriffe notwendigen technischen Ressourcen verfügen würden, kann kaum als Argument taugen, um die potentielle Bedrohung herunterzuspielen. Unauffällig ist die Beschaffung der Ausrüstung, ebenso die Vorbereitung, wenn die digitalen Spuren gut verwischt werden. Ein florierender Schwarzmarkt stellt – für entsprechendes Geld – geeignete Werkzeuge zur Verfügung, auch spezielle Exploits. Die Akteure können ortsungebunden agieren. Eine Rückverfolgung bis zur Quelle eines Angriffs – die so genannte Attributierung (4) – ist äußerst schwierig.

Nicht zu vergessen sind an dieser Stelle Hacker oder Script-Kiddies, die versuchen, in fremde Systeme einzudringen, um ihrerseits Schwachstellen zu finden, um die Betreiber darauf hinzuweisen oder um einfach nur auszuprobieren, was möglich ist. Sie verfolgen in der Regel zunächst keine finanziellen Interessen, und sie haben auch nicht das Ziel, Systeme zu stören oder gar zu zerstören. Doch auch ihre Angriffe setzen Rechnersysteme einem Risiko aus – und der Verlockung, die dabei gewonnenen Erkenntnisse und ertüftelten Exploits zu Geld zu machen, können am Ende vielleicht doch nicht alle widerstehen.

Cyberspace heute, eine Kolonie der Militärs

Zwei weitere Kategorien, Cyberspionage und Cyberwarfare, gehören eng zusammen wie auch deren Akteure, staatliche Sicherheitsdienste, Geheimdienste und Militärs. Das Wirken dieser Akteure ist uns lange weitgehend verborgen geblieben, bis uns Edward Snowden 2013 mit seinen Enthüllungen der NSA-Aktivitäten das massive Ausmaß der Ausspähung und den zielstrebigen Aufbau eines Angriffspotentials vor Augen geführt hat. Eine führende Rolle spielen hier die Militärs.

Wie die Schöpfung des Computer und die Entwicklung vieler für die Informationstechnik wichtiger Methoden und Technologien geht auch die Entwicklung des Internets auf Initiativen und Ambitionen der Militärs zurück, hier der US-Streitkräfte. Bereits 1969 realisierte die ARPA (heute DARPA, Defense Advanced Research Projects Agency des US-Verteidigungsministeriums) eine erste Datenfernverbindung zwischen Rechnerknoten in den USA. Hinter dem Projekt stand das strategische Ziel, die militärischen Rechenzentren angesichts ihrer zunehmenden Bedeutung geografisch zu verteilen und Redundanzen zu schaffen, um die Verletzlichkeit der USA durch physische Angriffe auf die Anlagen zu mindern – es war die Zeit des Kalten Krieges mit ihrer Angst vor Atomschlägen.

Die traditionell enge Verknüpfung zwischen Rüstungsforschung und ziviler Forschung in den USA sorgte dafür, dass sich sehr schnell die Wissenschaftsszene für die Idee einer Vernetzung ihrer Rechenzentren interessierte, die sich bald nicht nur auf die USA beschränkte. 1978 wurde das Internet Protocol (TCP/IP) spezifiziert und 1984 das Domain Name System (DNS) eingeführt, das Netzwerk aus dezentralisierten Leitstellen für die Datenflüsse. Beides waren Voraussetzungen für eine allgemeine Öffnung des Internets. Die anfängliche Vernetzung der Rechenzentren von Universitäten und Forschungseinrichtungen wuchs zu dem heutigen weltweiten Datennetz, das mittlerweile vorwiegend kommerziellen Interessen dient. Jedoch die Militärs haben nie ihr Interesse daran verloren, und insbesondere haben die USA bis heute versucht, die Hoheit über den Cyberspace zu behalten – wenn auch nicht administrativ, so doch technologisch und kommerziell.

Mit der Joint Vision 2010 legte der US-Generalstab der US-Regierung 1996 ein Positionspapier für die zukünftige Entwicklung der US-Streitkräfte vor, vier Jahre später aktualisiert in der Joint Vision 2020. Als Kernbotschaft wird eine gründliche Restrukturierung der Streitkräfte mit dem Ziel einer umfassenden Nutzung moderner Kommunikations- und Informationstechnologie in Waffen, in Waffensystemen und in den zu ihrem Einsatz notwendigen Infrastrukturen gefordert.(5) Die darauf basierende aktuelle Kriegsführungsdoktrin umfasst auch den Cyberspace als Operationsraum.

Die Szenarien beschreiben den Einsatz von Cyberoperationen in drei Phasen. Phase 0, ‚Konditionierung’ genannt, dient dem Erkennen der Absichten des Gegners. Ziele sind unter anderem das Ausspionieren der politischen Haltung, der militärischen Pläne und der rüstungsindustriellen Entwicklungen. Geheime Zugänge zu dessen Netzwerken werden angelegt, um sie unbemerkt ausbeuten zu können. Für die Aufgabe, Schwachstellen auch in besonders geschützten Computersystemen zu finden, steht der NSA unter besonderer Geheimhaltung die Spezialeinheit Tailored Access Operations (TAO) zur Verfügung.
Dass unsere Systeme von der NSA und anderen Geheimdiensten ausspioniert werden, ist seit Jahren die Regel. Es ist auch offenkundig, dass das Anlegen geheimer Zugänge bereits eine Vorbereitung auf die nachfolgenden Phasen militärischer Cyberoperationen ist: In Phase 1, ‚Abschreckung’, sollen dem Gegner mit harmloseren, aber spürbaren Eingriffen in seine Systeme ‚die digitalen Muskeln gezeigt’ werden. In Phase 2, ‚Dominieren’, werden schließlich Operationen zur Schwächung des Gegners eingeleitet, wie Sabotageakte oder die Übernahme der Kontrolle über kritische Systeme. Spätestens in dieser Phase werden Cyber-Operationen zu kriegerischen Aktionen.

Es stellt sich allerdings die Frage, wie denn die vorbereitenden Operationen zum Anlegen der geheimen Zugänge für die späteren kompromittierenden oder schadenstiftenden Operationen zu bewerten sind. Eingegriffen wird in Einrichtungen eines souveränen Staates, mit dem sich der Angreifer nicht in einem erklärten Krieg befindet.

Dass alle technologisch hochentwickelten Staaten ein Arsenal von Werkzeugen für militärische Operationen im Cyberspace aufbauen, kann als sicher angenommen werden – auch Deutschland, wie aus einem geheimen Strategiepapier des Bundesverteidigungsministeriums hervorgeht.(6) Dass die Aufrüstung im Cyberspace unter strenger Geheimhaltung geschieht, ist selbstverständlich. Nur durch Zufälle werden heute bereits durchgeführte Übergriffe wie beispielsweise durch die bereits genannte Schadsoftware Stuxnet bekannt. Die besondere Heimtücke an der Einbeziehung des Cyberspace in die militärischen Szenarien ist, dass die militärischen Operationen in den zivilen Datenströmen unerkannt mitschwimmen, auch deren Vorbereitung und Erprobung. Kollateralschäden dürfen nicht ausgeschlossen werden.

Geheimhaltung erschwert die öffentliche Diskussion und behindert die politische Handlungsfähigkeit. Die physische Nichtfassbarkeit militärischer Cyberoperationen hebt alle Grenzen auf: geografische Grenzen, politische Grenzen, die Grenze zwischen Krieg und Nicht-Krieg, die Grenze zwischen Militär und Zivilgesellschaft. Cyberangriffe von Militärs und Geheimdiensten sind nach internationalem Recht Kriegshandlungen.

Wie aber sollen angesichts der Entgrenzung zum Beispiel die Genfer Konvention Anwendung finden? Kriegerische Cyberoperationen beschwören erhebliche Eskalationsgefahren herauf, denn sie können konventionelle militärische Reaktionen provozieren. Die aber können aufgrund des Attributierungsproblems – der Verursacher ist erst durch langwierige Untersuchungen und dann oft nicht einmal sicher zu identifizieren, siehe oben – den Falschen treffen. Wer Cyberwar vorbereitet und führt, gefährdet die internationale Sicherheit in einem bisher meist weit unterschätzten Maß.

Cyber­si­cher­heit und Bürger­rechte

Wie lässt sich die Sicherheit wiederherstellen? Derzeit erleben wir, wie Sicherheitspolitiker_innen und Sicherheitsbehörden darauf abzielen, den Bedrohungen mit umfangreichen Überwachungsmaßnahmen zu begegnen. Die Ausspähung der Internet-Kommunikation durch Geheimdienste wie die US-amerikanische National Security Agency (NSA) und den Bundesnachrichtendienst (BND) sind aus deren Sicht Maßnahmen, die Sicherheit im Internet wiederherzustellen. Im Bereich der inneren Sicherheit fallen polizeiliche Maßnahmen wie die Vorratsdatenspeicherung – abgelehnt vom Europäischen Gerichtshof und den Verfassungsgerichten mehrerer Mitgliedsstaaten, dennoch immer noch auf der politischen Agenda – in diese Kategorie. Was aus Sicht der Sicherheitspolitiker_innen und -behörden der Sicherheit dient, bedroht auf der anderen Seite unsere Grundrechte.

Gleichzeitig können selbst Überwachungsmaßnahmen, die gegen andere Staaten gerichtet sind, bereits als Cyberangriffe gewertet werden, wenn sie erfordern, in fremde Rechnersysteme einzudringen und dabei bestehende Schwachstellen dieser Systeme auszunutzen oder neue zu schaffen. Dies ist, folgt man dem Tallinn-Manual,(7) in dem NATO-Expert_innen den Versuch unternommen haben, völkerrechtliche Regelungen in den Cyberspace zu übersetzen, ein kriegerischer Akt, der nach ihrer Ansicht sogar mit konventionellen militärischen Gegenschlägen beantwortet werden kann.

Dem Staat kommt dabei eine verfassungsrechtliche Schutzpflicht zu, wie die Verfassungsrechtler Hans-Jürgen Papier, Wolfgang Hoffmann-Riem und Matthias Bäcker gegenüber dem NSA-Untersuchungsausschuss des Deutschen Bundestages festgestellt haben.(8) Der Staat muss seine Bürger_innen vor Cyberangriffen, wie sie die NSA unternimmt, schützen. Folgt man den Berichten in den Medien, ist er angesichts der exorbitanten Überwachungskapazität der NSA dazu nicht nur nicht in der Lage. Vielmehr hat er offenbar, aus Gründen der Staatsraison, überhaupt kein Interesse daran.

Hier zeigt sich die Ambivalenz der Cybersicherheit. Wie können wir einerseits ein angemessenes Sicherheitsniveau gegenüber Angreifern herstellen, ohne dass dies die Grundrechte beeinträchtigt? Wie können wir uns andererseits vor der Ausspähung durch unsere eigenen Verbündeten (und unseren eigenen Staat) schützen?

Vertrauen

Unsere Gesellschaft basiert auf Vertrauen, diese Bedeutung hat Niklas Luhmann in seiner soziologischen Theorie (in der er übrigens an Maturana anknüpft) bereits lange vor dem Siegeszug des Internet herausgearbeitet.(9) Nach Luhmann ist Vertrauen notwendig, um die soziale Komplexität unseres Umfeldes zu reduzieren. Nur so können wir die große Zahl an Entscheidungen treffen, die uns die Realität täglich abverlangt – ohne Vertrauen würde diese Zahl ins unermessliche wachsen, bis wir nicht mehr in der Lage wären, damit umzugehen. Wie sich zeigt, war im Internet dieses Vertrauen noch nie berechtigt.(10) Jetzt ist es zerstört – diese Gewissheit haben wir spätestens seit den Enthüllungen von Edward Snowden.

Zunächst muss dieses Vertrauen wieder hergestellt werden – hier sind vertrauenswürdige, transparente staatliche Institutionen erforderlich. Das Grundgesetz spielt dabei eine wesentliche Rolle – nicht zufällig zählt das Bundesverfassungsgericht zu den Instanzen, denen am meisten Vertrauen entgegengebracht wird.(11)i Zu häufig musste es in der Vergangenheit verfassungswidrige Entscheidungen der Exekutive und Legislative korrigieren. Verfassungsgemäße politische Entscheidungen, die auch nicht versuchen, das Grundgesetz bis an die Grenze des Erlaubten auszureizen, wären ein erster Schritt in diese Richtung.

Technische Absicherung

Ein wesentliches Element der Abwehr von Cyberangriffen ist die technische Absicherung von Rechnersystemen dagegen. Diese beginnt mit der Erstellung sicherer Systeme – zu häufig sind die heute betriebenen Systeme nicht hinreichend sicher, dies zeigen allein schon die zahlreichen Medienberichte der vergangenen Monate und Jahre. Hier haben die Enthüllungen von Snowden zu einer Sensibilisierung geführt – zur technischen, aber auch zur organisatorischen Absicherung der Systeme, beispielsweise durch Einführung und Weiterentwicklung von Informationssicherheits-Management-Systemen, die die betriebsinternen Prozesse für IT-Sicherheit festlegen.

Manche empfehlen, zum Selbstschutz zu greifen. Cryptoparties werden organisiert, um Anwender_innen zu befähigen, ihre im Internet kommunizierten Daten zu verschlüsseln. Die für Überwachung besonders anfälligen Metadaten sollen verschleiert werden, beispielsweise durch Nutzung des TOR-Netzwerks. Solche Initiativen sind zu begrüßen und zu unterstützen – dürfen aber in ihrer Wirkung angesichts eines übermächtigen Gegners wie der NSA, der nahezu unbegrenzte Ressourcen zur Verfügung stehen, nicht überschätzt werden.

Quelloffene Programme (so genannte Open-source-Software) und Rechnersysteme können für technische Transparenz sorgen. Doch auch deren Nutzung ist keine Allheilmittel – Schwachstellen können zwar prinzipiell von der Community erkannt werden, dies setzt aber voraus, dass sich kompetente Menschen intensiv damit auseinandersetzen. Auch in quelloffenen Systemen dauert es mitunter lange, bis Sicherheitslücken gefunden werden – als Beispiel sei der Heartbleed-Bug genannt, der den sicheren Aufruf von Web-Seiten über OpenSSL gefährdet hat. Immerhin ist man hier nicht, wie bei proprietären, geschlossenen Systemen, auf das Herstellerunternehmen allein angewiesen – zumal es auch bei einigen (prominenten) Unternehmen Hinweise auf eine Zusammenarbeit mit den Geheimdiensten gibt.(12) Letztlich ist staatliches Handeln gefordert – durch einen Staat, der transparent und vertrauenswürdig agiert und auf funktionierenden demokratischen Institutionen basiert.(13) Eine sichere Infrastruktur muss geschaffen werden, die die Bürgerrechte wahrt und gleichzeitig Sicherheit gegen äußere Angriffe bietet.

Folgerungen

Doch was muss nun geschehen? Die Enthüllungen von Snowden haben gezeigt, wie anfällig unsere Gesellschaft heute gegen Cyberangriffe von staatlicher Seite ist. Cyberkriminalität und Cyberkriegführung müssen bekämpft werden – oberstes Gebot ist es, die Menschen- und Bürgerrechte dabei zu bewahren.

Dabei gilt der Satz des IT-Sicherheitsexperten Bruce Schneier: „If you think technology can solve your security problems, then you don’t understand the problems and you don’t understand the technology“(14) – ausschließlich technisch können die Probleme nicht gelöst werden; Maßnahmen auf der politischen und rechtlichen Ebene sind notwendig.

Innen­po­li­ti­sche Folgerungen

Innenpolitisch ist zunächst der aktuelle Spähskandal aufzuklären und die Öffentlichkeit umfassend zu informieren. Der Skandal muss eingehend untersucht werden, und die daran Beteiligten müssen zur Verantwortung gezogen werden. Gleichzeitig müssen die öffentlichen Kontrollrechte verbessert werden, nachdem sich die bisherige Kontrolle der Geheimdienste als ineffektiv erwiesen hat. Das parlamentarische Kontrollgremium (PKG) gewährleistet in seiner heutigen Form keine effektive Kontrolle – das hat uns der Geheimdienstskandal deutlich vor Augen geführt.

Auch wenn das von der Bundesregierung ins Gespräch gebrachte No-Spy-Abkommen sich offenbar gerade als Wahlkampftäuschung herausstellt: am Abschluss von Abkommen mit den USA führt kein Weg vorbei. Das ineffektive Safe-Harbor-Abkommen zum Datenschutz muss durch ein effektives Datenschutzabkommen ersetzt werden. Auch die Zusammenarbeit von Sicherheitsbehörden muss so geregelt werden, dass der Schutz der Persönlichkeitsrechte, Privatheit und der Datenschutz wirksamer als bisher gewährleistet werden. Maßnahmen zur illegitimen Totalüberwachung der Bevölkerung müssen sofort beendet werden. Dies gilt umso mehr innerhalb der Europäischen Union – es ist unglaublich, dass sich deren Mitglieder gegenseitig ausspionieren.

Auch nachdem die EU-Richtlinie zu Vorratsdatenspeicherung 2006/24/EG vom Europäischen Gerichtshof (EuGH) und – in der einzelstaatlichen Umsetzung – von mehreren nationalen Verfassungsgerichten eine klare Absage erteilt wurde, wurde die Debatte über ihre Einführung fortgesetzt. Forderungen nach einer neuen, „gerichtsfesten“ EU-Richtlinie, oder nach einer „verfassungsgemäßen“ Umsetzung der Vorratsdatenspeicherung werden erhoben; mittlerweile ist die Vorratsdatenspeicherung – in Orwell’scher Sprachmanipulation nun als „Höchstspeicherfrist“ bezeichnet – in Deutschland verabschiedet, Verfassungsbeschwerden sind angekündigt.

Stattdessen müssen künftige Überwachungsmaßnahmen die Grundrechte in den Vordergrund stellen und sich am Schutz der Privatsphäre orientieren, nicht am gerade noch verfassungsrechtlich Erlaubten. Internationale Verhandlungen über Datenschutzabkommen, aktuell die Verhandlung der Datenschutz-Grundverordnung in der Europäischen Union, sind einem starken Lobby-Druck ausgesetzt. Die Bundesregierung muss sich für ein starkes Datenschutzrecht in Europa und darüber hinaus einsetzen.

Sowohl das Grundrecht auf informationelle Selbstbestimmung als auch das Telekommunikationsgeheimnis statuieren nicht nur Abwehrrechte gegenüber der deutschen Staatsgewalt, sondern auch Schutzpflichten des Staates gegenüber Eingriffen durch andere. Die nachrichtendienstliche Ausspähung der deutschen Bevölkerung ist unzulässig und strafbar. Der Generalbundesanwalt muss gegen die Verantwortlichen effektiv ermitteln. Der Schutz der Grundrechte darf nicht hinter die außenpolitischen Belange der Bundesrepublik Deutschland zurücktreten. Rechtsstaatliche Verfahren müssen die Rechte der Betroffenen wahren, beispielsweise bei der Umsetzung des G10-Gesetzes, das die Einschränkung des Brief-, Post- und Fernmeldegeheimnisses regelt.

Aus technischer Sicht wird ein Großteil der Kommunikation im Internet heute immer noch ungesichert abgewickelt – so haben Nachrichtendienste und andere Angreifer leichtes Spiel, die Daten abzugreifen und auszuspähen. Bestehende Sicherheitsmechanismen werden häufig nicht genutzt. Bisherige Ansätze von Behörden zur Bereitstellung solcher Infrastrukturen sind unzureichend. Die Bundesregierung und die zuständigen Behörden müssen die sichere Möglichkeit der Kommunikation im Internet durch eigene Maßnahmen und durch die Gesetzgebung fördern, die die Privatsphäre der Menschen wahrt und sie vor Angriffen von jeder Seite nach dem Stand der Technik schützt.

Vertrauen und Vertraulichkeit ist zwischen Staaten und im innerstaatlichen Regierungshandeln essentiell. Doch gleichzeitig ist größtmögliche Transparenz erforderlich, um das Vertrauen der Öffentlichkeit wiederherzustellen. Illegales, unlauteres oder skandalöses Verhalten verdient keinen Schutz. Whistleblower_innen leisten der Öffentlichkeit einen großen Dienst – nur durch sie kann häufig für eine wirksame Durchsetzung des Rechts gesorgt werden. Sie dürfen nicht kriminalisiert werden.

Außen­po­li­ti­sche Folgerungen

Doch auch außenpolitisch muss gehandelt werden. Leitbild ist die Entmilitarisierung des Internet und dessen ausschließlich friedliche Nutzung.(15) Militär und Geheimdienste müssen international kontrolliert, und diese Kontrolle muss durch völkerrechtliche Abkommen abgesichert werden. Cyberwarfare muss international geächtet, die Integrität des Internets, das Primat seiner friedlichen Nutzung und der Schutz vor militärischem und politischem Missbrauch sichergestellt werden. Daraus ergeben sich grundlegende Forderungen. Sie betreffen:

• Rüstungskontrollbestimmungen für offensive Cyberwaffen und Überwachungstechnologie,
• eine der Genfer Konvention entsprechende internationale Übereinkunft, die vor allem verbietet, dass sich Cyberangriffe gegen Zivilpersonen richten,
• den Verzicht auf Entwicklung und Einsatz offensiver Cyberwaffen,
• die Veröffentlichungspflicht für IT-Schwachstellen, insbesondere für staatliche Behörden und Unternehmen,
• eine gesetzliche Verankerung ausspähsicherer und menschenrechtswahrender Kommunikationsinfrastrukturen.

Das Internet sei, so zitiert Martin Kutscha in diesem Heft die Verfassungsrichterin Susanne Baer, „ein großartiger Raum des Wissens, der Debatte, der Filme, der Musik, der Chats, der Blogs, der Aufsätze, der Lexika, der Chatter und Twitter. So viele Möglichkeiten!“ Staaten, Militärs, Politiker_innen, Gesellschaften und Wirtschaftsunternehmen tragen die Verantwortung dafür, dass dieser großartige Raum zum Nutzen der Menschen bestehen bleibt, und nicht durch technische Bedrohungen, Cyberwarfare und Cybercrime zerstört wird – und dass der Cyberspace nicht wirklich zum „Wilden Westen“ wird. Der oft erhobene Vorwurf einer Panikmache ist angesichts der Faktenlage nicht mehr haltbar.

STEFAN HÜGEL ist Vorsitzender des Forums InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF) und Mitglied der Humanistischen Union in Frankfurt am Main.

DIETRICH MEYER-EBRECHT hatte von 1984 bis zu seiner Emeritierung 2004 einen Lehrstuhl für Bildverarbeitung an der RWTH Aachen inne. Er engagiert sich seit 1987 im Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF), dessen stellvertretender Vorsitzender er heute ist.

Begriffe

Cyberangriff: Aktionen mit der Absicht, Informationen in einem Computer und/oder einem Computernetz abzugreifen oder zu zerstören, oder den Computer und/oder das Computernetz selbst zu schwächen, zu stören oder zu zerstören, oder durch einen solchen Eingriff Störungen oder Zerstörung darüber hinaus zu bewirken.

Cybercrime: Kriminelle oder illegale, strafbare Aktivitäten, die Dienste des Cyberspace nutzen.

Cyberspionage: Die Nutzung des Cyberspace, Staaten, ihre Repräsentanten, Gesellschaften und Wirtschaftsunternehmen auszuspähen, um sich einen Informationsvorteil zu verschaffen.

Cyberspace: Die Gesamtheit der Informations- und Kommunikationsinfrastrukturen, Hardware wie Software, öffentlich wie privat, offen wie eingeschränkt zugänglich. Sie schließt Einrichtungen oder Werkzeuge ein, die nicht mit einem Netz verbunden sind, jedoch über Datenzwischenträger mit dem Netz kommunizieren können.

Cyberterrorism: Gewaltsame kriminelle Aktivitäten durch Nicht-Regierungs-Akteure, die darauf abzielen, politische Systeme durch die Erzeugung von Angst und Unsicherheit zu destabilisieren und zu verändern.

Cyberwaffe: Jede Software oder Hardware, die durch Ausnutzen von Schwachstellen für die Ausführung eines Cyberangriffs angewendet werden kann. Cyberwaffen nutzen üblicherweise Schwachstellen aus, die geheim gehalten werden, und deren destruktiver Charakter aus der Unmöglichkeit erwächst, Effekte seiner Ausnutzung abzuschwächen. Durch die Veröffentlichung der Schwachstelle können Gegenmaßnahmen eingeleitet werden.

Cyberwar: Ein Krieg, der ausschließlich oder flankierend zu einem konventionellen Krieg im Cyberspace geführt wird, sehr wohl aber Auswirkungen außerhalb des Cyberspace haben kann, von psychologischen Effekten über Destabilisierung der Zivilgesellschaft bis zu physischer Zerstörung.

Cyberwarfare, Cyberkriegführung: Die Nutzung von Computertechnologie um die Aktivitäten eines Staates oder einer Organisation zu stören, speziell der gezielte Angriff auf Kommunikationssysteme und kritische Infrastrukturen durch einen anderen Staat oder eine andere Organisation mittels Cyberangriff.

Anmerkungen:

(1) Thomas Petermann et al. (2010): Gefährdung und Verletzbarkeit moderner Gesellschaften – am Beispiel eines großräumigen Ausfalls der Stromversorgung. Büro für Technikfolgenabschätzung beim Deutschen Bundestag, Arbeitsbericht Nr. 141, November 2010, http://www.tab-beim-bundestag.de/de/pdf/publikationen/berichte/TAB-Arbeitsbericht-ab141.pdf. Wer es spannender mag, lese dazu Marc Elsbergs Techno-Thriller „Blackout“, der auf der Grundlage der TAB-Studie ein dramatisches Szenario aufbaut.

(2) Z.B. Sandro Gaycken (2011): Cyberwar. Das Internet als Kriegsschauplatz. München: Open Source Press.

(3) Anne Fromm (2015): Das ist erst der Anfang. TAZ, 09.04.2015, http://www.taz.de/CCC-Sprecher-ueber-den-TV5-Hack/%21157880/.

4) Sylvia Johnigk und Kai Nothdurft (2015): Attributierung von Cyberangriffen – Das Problem und seine Folgen. Wissenschaft & Frieden 2015-3, Dossier 79.

(5) Joint Vision 2010 – America’s Military: Preparing for Tomorrow (1999), http://www.dtic.mil/ jv2010/jv2010.pdf.

(6) Matthias Gebauer (2015): Geheime Bundeswehr-Strategie: Von der Leyen rüstet an der Cyberfront auf. SPIEGEL online, 10.07.2015, http://www.spiegel.de/politik/deutschland/bundeswehr-ursula– von-der-leyen-ruestet-an-der-cyber-front-auf-a-1042985.html.

(7) Michael N. Schmitt (2013): Tallinn-Manual on the International Law applicable to Cyber Warfare, Cambridge University Press.

(8) Matthias Bäcker (2014): Erhebung, Bevorratung und Übermittlung von Telekommunikationsdaten durch die Nachrichtendienste des Bundes. Stellungnahme zu Anhörung des NSA-Untersuchungsausschusses am 22. Mai 2014. Deutscher Bundestag, 1. Untersuchungsausschuss der 18. Wahlperiode, MAT A SV 2-3 zur A-Drs. 54, Wolfgang Hoffmann-Riem (2014): Stellungnahme zu Anhörung des NSA-Untersuchungsausschusses am 22. Mai 2014. Deutscher Bundestag, 1. Untersuchungsausschuss der 18. Wahlperiode, MAT A SV 2/1 neu zur A-Drs. 54 und Hans-Jürgen Papier (2014): Gutachterliche Stellungnahme, Beweisbeschluss SV-2 des ersten Untersuchungsausschusses des Deutschen Bundestages der 18. Wahlperiode. Deutscher Bundestag, 1. Untersuchungsausschuss der 18. Wahlperiode, MAT A SV 2/2 zur A-Drs. 54

(9) Niklas Luhmann (1968): Vertrauen. 4. Auflage 2000. Stuttgart: Lucius & Lucius

(10) Dazu Josef Foschepoth (2012): Überwachtes Deutschland. Post- und Telefonüberwachung in der alten Bundesrepublik. Göttingen, Bristol: Vandenhoek & Ruprecht

(11) Z.B. in Die Zeit online (2012): Großes Vertrauen in Karlsruhe, wenig in die Regierung. http://www. zeit.de/politik/deutschland/2012-07/umfrage-institutionen-karlsruhe

(12) Kritisch zur Wirkung von Open Source auch Evgeny Morozov, Big Data für alle. Lettre International Nr. 108, Frühjahr 2015

(13) Im Gegensatz zur rein formalen oder „simulativen“ Demokratie, vgl. dazu Colin Crouch (2008): Postdemokratie, Frankfurt am Main: Suhrkamp und Ingolfur Blühdorn (2013): Simulative Demokratie. Neue Politik nach der postdemokratischen Wende. Berlin: Suhrkamp.

(14) Bruce Schneier (2000): Secrets & Lies. Digital Security in a Networked World. Indianapolis: John Wiley & Sons.

(15) Dies fordert die Kampagne Cyberpeace des Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF), https://cyberpeace.fiff.de.

Der Beitrag Cyberspace, der neue Wilde Westen erschien zuerst auf Humanistische Union.

(Red.) Wer sich gegen die allumfassende Internet-Überwachung zur Wehr setzen möchte, greift schon länger auf eine starke Verschlüsselung von Daten (Kryptographie) und Open Source Software zurück. Jedoch belegen die von Edward Snowden veröffentlichten Dokumente, dass die mit Kryptographie zu erzielende Sicherheit trügt. Zahlreiche Verschlüsselungstechniken, ja selbst die mathematischen Grundlagen dieser Verfahren wurden kompromittiert bzw. manipuliert. Rüdiger Weis zeigt im folgenden Beitrag, welche Anforderungen an Verschlüsselungsverfahren zu erfüllen sind, damit diese als hinreichend sicher angesehen werden können. Zugleich warnt er davor, Sicherheit allein mit technischen Mitteln erreichen zu wollen. Seine Kernthese: Es gibt keinen absoluten Schutz für einmal gespeicherte Daten. Datensparsamkeit, also besonders sensible Daten überhaupt nicht zu erfassen oder zu speichern, ebenso wie ein stärkerer rechtlicher Datenschutz sind für ihn deshalb unerlässlich, um die Integrität von IT-Systemen wiederzugewinnen.

Die weltweite elektronische Vernetzung stellt wohl eine der tiefgreifendsten Veränderung seit der industriellen Revolution dar. Das gesellschaftliche Zusammenleben, unser gesamtes Wirtschaftsleben, das Verhältnis zwischen Bürger und Staat und das Verhältnis der Staaten untereinander stehen vor tiefgreifenden Herausforderungen. Wer hier von „Neuland“ spricht, liegt vielleicht gar nicht so falsch, wie oberflächlichere Kommentatoren meinen. Oft wird in der Diskussion das technikfixierte „code is law“ vorgebracht, und in der Tat scheint die Gesetzgebung technischen Entwicklungen fast nur noch hinterherzulaufen. Allerdings ist es ja aber gerade das Wesen einer freiheitlichen Gesellschaft, dass der Staat Innovation nicht behindern, sondern einen fairen Rechtsrahmen vorgeben sollte. Hierbei kann Technik der Politik gerade dort helfen, wo sich Diplomatie allein als machtlos erwiesen hat. Die Regierungen weltweit sind daran gescheitert, das flächendeckende Abhören von Bürgern und Industrie zu verhindern. Freie Software und starke Kryptographie kann dies. Und auch darüber hinaus sind Kryptographie und Open Source Software mächtige Werkzeuge, um die digitale Gesellschaft freiheitlich und demokratisch zu gestalten.

Das Internet bietet die Möglichkeit der einfachen Teilhabe. Jeder kann sich umfassend aus nichtstaatlichen Quellen informieren und auch die aktive Teilnahme am politischen Meinungsbildungsprozess ist dank sozialer Netze und des einfachen Publizierens mittels Blogs und Podcasts sehr niedrigschwellig möglich geworden. Andererseits wurde schon von Anfang an von der Wissenschaft gewarnt, dass im Internet schon konstruktionsbedingt eine allumfassende Überwachung möglich ist. Nach Snowden ist es unstrittig, dass Staaten diese Überwachung durchführen.

„Crypto works“

Die gute Nachricht ist, dass wissenschaftlich starke Kryptographie auch für übermächtige Geheimdienste nicht brechbar sein dürfte. „Crypto works. It’s not an arcane black art. It is a basic protection, the Defense Against the Dark Arts for the digital world. We must implement it, actively research it“, so Edward Snowden im Guardian vom 11. März 2014.
Kryptographie geht bereits bei der wissenschaftlichen Modellbildung von einem fast allmächtigen Gegner aus. Der Angreifer kann alle Nachrichten lesen und übertragene Nachrichten ändern. Die einzige Voraussetzung auf Verteidigerseite ist das sichere Erzeugen und Speichern von wenigen Bits für die kryptographischen Schlüssel. Nach Snowden wissen wir genauer, an welchen Kabelstellen abgehört wird und auf den Cent genau, wie viel Geld für Kryptoangriffe vorhanden ist – nicht uninteressant, aber wissenschaftlich betrachtet nur eine Fußnote. Die „übertriebene Paranoia“ der Theoretiker hat sich also mal wieder als die realistischste Einschätzung der praktischen Bedrohungslage erwiesen. Kryptographie ermöglicht durch Mathematik auf einer kleinen fingernagelgroßen Fläche oder mit einer handvoll Programmzeilen, Daten sicher selbst gegen eine weltweite Geheimdienstzusammenarbeit zu verschlüsseln. Freie Software ermöglicht dies kosten- und hintertürenfrei.

Pessimisten meinen, dass Kryptographie die letzte Brandmauer gegen eine umfassende Überwachung darstellen könnte, die allerdings in der Praxis häufig umgangen werden kann. Optimisten glauben, dass Kryptographie zu einer Stärkung des Einzelnen gegenüber den Staaten führt und damit eine Schlüsseltechnologie für eine freiheitlich, demokratische Gestaltung des digitalen Lebensraumes darstellt.  „Trust the math. Encryption is your friend.“, so Bruce Schneier im Guardian vom 6. September 2013.

Allerdings sollten zukünftig Warnungen aus der Wissenschaft vor schwacher Kryptographie ernst genommen werden. Starke Kryptographie sollte als Standardeinstellung benutzt und im klugen Ingenieursinne ausreichend große Sicherheitsspielräume, sprich bewährte Algorithmen mit langen Schlüssellängen, gewählt werden. Nach Snowden ist es sicher, dass kryptographische Verfahren, gegen die wissenschaftliche Vorbehalte bestanden, wohl auch praktisch gegen mit Milliarden ausgestattete Gegnern mehr als problematisch sind.

Mathe­ma­ti­scher Forschungs­be­darf bei Ellip­ti­schen Kurven

Zentraler Baustein für die Sicherheit von elektronischer Kommunikation ist die Verwendung von kryptographischen Verfahren mit öffentlichen Schlüsseln. Diese werden sowohl für die Verschlüsselung, als auch für die Authentifizierung verwendet. Hierfür halten Kryptographen schon seit vielen Jahren Standardverfahren mit einer Schlüssellänge von 1024 bit für brechbar. Die staatlichen Stellen verpflichten schon seit längerem auf eine Mindestlänge von 2048 bit, wie sie beispielsweise Windows 8 verwendet und halten längere Schlüssellängen schon mittelfristig für empfehlenswert.

Viele Kryptographieforschern empfehlen mindestens 4096 bit. Wegen dieser Anforderungen diskutieren viele Wissenschaftlern die Verwendung von Elliptischen Kurven Kryptosystemen. Die Hauptidee hierbei ist, das schon lange bekannte Diskrete Logarithmus Problem (DLP) auf mathematisch anspruchsvollen Strukturen zu verwenden. Die Mehrheit der kryptographischen Forschung ist der Ansicht, dass ECC ähnliche Sicherheit liefert wie RSA und dies bei deutlich kürzeren Schlüsseln und besserer Geschwindigkeit. Diese Eigenschaften sind besonders im Bereich Smartcards und eingebetteten Systeme bedeutend.

Allerdings mehren sich seit geraumer Zeit die Zweifel, ob wirklich gleiche Sicherheit mit deutlich geringerem Zeit und Speicheraufwand zu realisieren ist. Die Annahmen, die dieser Einschätzung zu Grunde liegen, sind sehr weitreichend. Eine Minderheit der Kryptographen kritisiert, dass man sicher lediglich weiß, dass der gegen DLP Systeme über endlichen Körpern wirkungsvolle Index-Calculus Angriff nicht unmittelbar gegen das DLP über der additiven Gruppe von Elliptischen Kurven angewendet werden kann. Hieraus zu folgern, dass nur Standardangriffe anwendbar sind, ist eine durchaus kritisch zu sehende Annahme. Diese Standardangriffe sind universell einsetzbar und nutzen keinerlei Optimierungen der zu Grunde liegenden mathematischen Strukturen. Gerade die reichhaltige algebraische Struktur von Elliptischen Kurven könnte jedoch überraschende und sehr wirkungsvolle Angriffe möglich machen. Zudem ist ECC wegen der kürzeren Schlüssellänge viel anfälliger gegen Angriffe mit Quantencomputern (Shor Algorithmus). Nach Snowden wissen wir auf den Cent genau, dass die NSA erhebliche Mittel in die Forschung zu Quantencomputern steckt.

Ein erhebliches praktisches Problem stellt weiterhin die Tatsache dar, dass ECC-Systeme eine Reihe von mathematisch höchst sensiblen Parametern benötigen. So wurde von offen forschenden Kryptographen in einem NIST-Standard schon im Juni 2006 die hohe Wahrscheinlichkeit einer Manipulation von Elliptischen Kurven bei Parametern für einen Zufallsgenerator (Dual Elliptic Curve Deterministic Random Bit Generator) aufgedeckt. Nach Snowden bestätigt sich die Existenz einer NSA-Backdoor in einem NIST Standard. Der Vertrauensverlust der Standardisierungsbehörde ist ein harter Schlag für die Informatik. Die von NIST und NSA vorgeschlagenen Elliptischen Kurven müssen daher offensichtlich wissenschaftlich nochmals gründlich untersucht werden.

Starke Krypto­gra­phie als Standard-Ein­stel­lung

Die Enthüllung zum Behördenvorgehen gegen den Mail-Anbieter Lavabit zeigen, wie riskant kryptographisch problematische Einstellungen sind. Bei der Nutzung der bisherigen Standardeinstellungen bedeutet die erzwungene Herausgabe von SSL-Schlüsseln die automatische Kompromittierung der gesamten, sicherlich von der NSA aufgezeichneten Kommunikation aller Kunden.

Der getroffene Mail-Anbieter Lavabit beendete den Geschäftsbetrieb, Kommentatoren schrieben über das „Todesurteil für US-Kryptographie“ und für US-Cloudanbieter könnten diese rechtlichen Probleme in der Tat das Aus vieler Geschäftsbereiche bedeuten. Und auch hier ist dank kryptographischer Forschung die Lösung nur einen Maus-Klick entfernt. Perfect Forward Secrecy (PFS) ermöglicht, dass durch eine Kompromittierung eines SSL-Serverschlüssels nicht die gesamte Kommunikation von Unschuldigen betroffen ist. Nach Snowden sollten 1024 bit Schlüssel und RC4 nicht mehr verwendet und die Schlüsselvereinbarung auf Perfect Forward Secrecy umgestellt werden.

Warnung vor Windows 8/10

Neu bewertet werden muss die Initiative von Microsoft, bei der Einführung von Windows 8/10 den Nutzern eine neue, von Microsoft kontrollierte Sicherheitsarchitektur aufzuzwingen. Hierbei soll ein Trusted Computing Modul (TPM) in die persönlichen Computer und Mobilgeräte eingebaut werden. Dieses enthält einen Schlüssel auf den der/die Besitzer_in des Computer keinen Zugriffs hat. Zusammen mit den nun von Microsoft implementierten Verfahren innerhalb von Windows 8/10 (insbesondere Secure Boot) wird den Nutzern weitgehend die Kontrolle über ihre eigene Hardware und Software entzogen.

Ähnlich analysierte das Bundesamt für die Sicherheit in der Informationstechnik in einer „Stellungnahme des BSI zur aktuellen Berichterstattung zu MS Windows 8 und TPM“:

„Aus Sicht des BSI geht der Einsatz von Windows 8 in Kombination mit einem TPM 2.0 mit einem Verlust an Kontrolle über das verwendete Betriebssystem und die eingesetzte Hardware einher. Daraus ergeben sich für die Anwender, speziell auch für die Bundesverwaltung und kritische Infrastrukturen, neue Risiken.“(1)

 

Es erinnert fatal an eine elektronische Fußfessel. So kann beispielsweise über das Netz angefragt werden, ob nur genehmigte Software läuft – das Ende der persönlichen Computer und Smartphones.

Krypto­gra­phen warnen vor Trusted Computing

Whitfield Diffie, einer der Entdecker der Public-Key-Kryptographie, zeigte sich besorgt über die dominierende Stellung von Microsoft und forderte, dass die Benutzer die vollständige Kontrolle über die Schlüssel des eigenen Computers behalten sollten:

„(The Microsoft approach) lends itself to market domination, lock out, and not really owning your own computer. (…) To risk sloganeering, I say you need to hold the keys to your own computer.“ (zitiert nach EETimes, 15. April 2003)

Auch Ron Rivest mahnte eindringlich, die möglichen Konsequenzen gründlich abzuwägen:

„We should be watching this to make sure there are the proper levels of support we really do want. (…) We need to understand the full implications of this architecture. This stuff may slip quietly on to people’s desktops, but I suspect it will be more a case of a lot of debate.“ (zitiert nach EETimes, 15. April 2003).

Wenn Wirtschaft und Behörden mittels Windows und Trusted Computing eine Sicherheitsinfrastruktur aufbauen, können die US-Behörden im Zweifelsfall die völlige Kontrolle übernehmen.

„Darüber hinaus können die neu eingesetzten Mechanismen auch für Sabotageakte Dritter genutzt werden. Diesen Risiken muss begegnet werden.“ (BSI, August 2013, a.a.O.).

Angesichts der Tatsache, dass wiederholt Druck auf Herstellern ausgeübt wurde, Hintertüren einzubauen, wirkt die Idee, dass ein Schlüssel vom/von der Benutzer_in nicht ersetzt werden kann, sehr bedrohlich. Besonders brisant ist, dass die geheimen Schlüssel während des Herstellungsprozesses außerhalb des Chips erzeugt und danach in den Chip übertragen werden. Hier ist es trivial, eine Kopie aller Schlüssel herzustellen. Es ist nicht auszuschließen, dass entsprechende Rechtsvorschriften bestehen und über diese nicht berichtet werden darf. Ein anderes realistisches Szenario, dass der TPM Hersteller nicht in der Reichweite der NSA sondern beispielsweise in der Volksrepublik China sitzt, kann nicht wirklich beruhigen.

Da neben den Überwachungsmöglichkeiten auch die Wahlmöglichkeiten der Nutzer eingeschränkt werden, stellen sich natürlich kartell- und verbraucherrechtliche Fragen. Unter anderem die Tatsache, dass Microsoft die übliche Praxis verlassen hat und den Überwachungschip automatisch einschaltet und sich bei vielen Systemen selbst nicht mehr ausschalten lässt, verstößt unter anderem gegen das Eckpunktepapier des Bundesinnenministeriums zur vertrauenswürdigen Technikgestaltung.

Secure Boot Probleme für Linux

Nachdem die Einführung einer Microsoft kontrollierten Sicherheitsinfrastruktur durch politischen Widerstand lange aufgehalten werden konnte, hat Microsoft ein weiteres Mal in Geheimverhandlungen Fakten geschaffen. In den Hardwareanforderungen für Windows 10 wird Secure Boot verpflichtend vorausgesetzt. Alternative Betriebssysteme können in der Praxis bisher nur mit technisch und rechtlich nicht unproblematischen Notkonstruktionen gestartet werden.

Microsoft kann und hat auch ohne nachvollziehbare Begründung konkurrierende Bootloader deaktiviert. Ein Szenario, dass Microsoft (möglicherweise durch US Regierungsdruck) die Berechtigung für die von Microsoft unterschriebenen Bootloader für Linux-Distributionen zurückzieht, will man sich insbesondere für sicherheitskritische Systeme oder eingebettete Systeme nicht wirklich vorstellen.

„Insbesondere können auf einer Hardware, die mit einem TPM 2.0 betrieben wird, mit Windows 8 durch unbeabsichtigte Fehler des Hardware- oder Betriebssystemherstellers, aber auch des Eigentümers des IT-Systems Fehlerzustände entstehen, die einen weiteren Betrieb des Systems verhindern. Dies kann soweit führen, dass im Fehlerfall neben dem Betriebssystem auch die eingesetzte Hardware dauerhaft nicht mehr einsetzbar ist. Eine solche Situation wäre weder für die Bundesverwaltung noch für andere Anwender akzeptabel.“ (BSI, August 2013, a.a.O.).

Während deutsche Behörden darüber diskutieren, wie sehr vor Windows 8 gewarnt werden sollte, verbot die Volksrepublik China Windows 8 auf staatlichen Computern.

Alternative Vertrau­ens­anker

Es erscheint zwingend notwendig, Alternativen zum Vertrauensanker von Microsoft zur Verfügung zu stellen. Aus technischen Gründen ist dies sogar deswegen notwendig, weil Microsoft mit einer Schlüssellänge von 2048 bit arbeitet, welche vom BSI nicht für langfristige Sicherheit empfohlen wird.

Für den staatlichen Bereich könnte beispielsweise die Bundesnetzagentur eine führende Position einnehmen. Hier sind im Zusammenhang mit dem Signaturgesetz schon erhebliche Vorarbeiten vorgenommen worden. Für nichtstaatliche Bereiche erscheint eine gemeinnützige Stiftung außerhalb der USA die bessere Lösung. Ähnliche Diskussionen werden bereits zu ICAN und DNSSEC Rootzonen-Schlüssel geführt.

Die Kryptographieforschung hat Lösungen für feingranulare Sicherheitspolitiken mit mathematisch beweisbaren Sicherheitseigenschaften entwickelt. Beispielsweise können Vertrauensbeziehungen durch mehre mögliche Stellen dezentralisiert werden oder eine Zusammenarbeit von mehren Instanzen erforderlich gemacht werden.

Hintertüren in Closed Source Soft- und Hardware

Wenn die geheimen Schlüsselinformationen durch Hintertüren übertragen werden, kann natürlich die stärkste Kryptographie nichts ausrichten. Die bestätigten geheimen Einbauten von Hintertüren durch US Firmen führen ein weiteres Mal die Notwendigkeit für eine neue Vertrauensbasis für die digitale Welt vor Augen. Hierfür sind Schlüsselkontrolle durch die Anwender, nachvollziehbare Standardisierungsprozesse und einsehbarer Sourcecode für Software und Hardware als unabdingbar anzusehen. Nach Snowden ist bekannt, dass die Geheimdienste über einen Milliarden-Etat verfügen, um die Sicherheit von kommerzieller Software und Geräte mit Hintertüren zu versehen. Lesbarer Quellcode und aufmerksame Entwicklern bieten hiergegen Sicherheit.

Lesbarer Quellcode

Während die über die Notwendigkeit der ausschließlichen Verwendung von Open Source Programmen für sicherheitskritische Bereiche noch kontrovers diskutiert wird, ist die schwächere „Lesbarer Quellcode“-Forderung innerhalb der Wissenschaftsgemeinde unumstritten. Ohne die Möglichkeit, den Quellcode zu überprüfen, ist es faktisch unmöglich, Hintertüren zu entdecken.

Lesbarer Quellcode bedeutet nicht zwangsläufig die Verwendung einer offenen Lizenz. Auch veröffentlichter Quellcode kann unter kommerzielle Lizenzen gestellt werden, die die Verwendung und Weitergabe nahezu beliebig einschränken können. Dies ist seit langem gängige Praxis, wie die Beispiele PGP und CryptoPhone zeigen.

Shared Code Probleme

Shared Code Initiativen für Windows, die beispielsweise Microsoft mit verschiedenen Regierungen vereinbart haben, bieten geringeren Schutz, da nicht die gesamte kryptographische Forschungsgemeinde an der Sicherheitsanalyse teilnehmen kann. Ein exklusiver Quellcode-Zugang für Regierungen ist jedoch problematisch, da viele Dienste diesen Wissensvorsprung für Angriffe missbrauchen.

Open Source kann Sicher­heits­lü­cken schneller schließen

Open Source Programme bieten den wichtigen Vorteil, dass beim Schließen von Sicherheitslücken nicht auf die Herstellern gewartet werden muss. Die Zeit zwischen der Veröffentlichung einer Sicherheitslücke und dem Schließen dieser durch die Herstellern ist unstrittig die Zeit der höchsten Gefährdung. In der Praxis sind derartige Hochrisikozeiten von mehreren Monaten nicht unüblich. Jedoch zeigen Sicherheitskatastrophen, wie beispielsweise in der systemrelevanten Open-SSL Implementierung, dass auch im Open Source Bereich ein erheblicher Handlungsbedarf besteht. Da auch staatliche Stellen häufig Open Source Lösungen einsetzen und damit selbst nach konservativen Schätzungen Milliardeneinsparungen realisieren, besteht wegen der Sorgfaltspflicht eine staatliche Verpflichtung, hier für eine Grundsicherheit zu sorgen.

Staats­auf­gabe Sicherheit in der Infor­ma­ti­ons­technik

Die politische und juristische Frage, ob Regierungen Cyberangriffswaffen („Bundes-Trojaner“) zum Schutze hoher Rechtsgüter entwickeln dürfen, oder dies verfassungsrechtlich unakzeptabel ist, wie ein entsprechendes Urteil des Bundesverfassungsgericht nahe legt, soll an dieser Stelle nicht diskutiert werden. Aus informatischer Sicht muss jedoch in diesem Fall auf technische und organisatorische Probleme hingewiesen werden, die beispielsweise bei der Einblickgewährung in den Windows-Quellcode auftreten. Die Kenntnis des Quellcodes erleichtert es Angreifern ganz erheblich, ausnutzbare Schwachstellen zu finden. Hier haben staatliche Stellen, die neben dem Schutz der Anwendern auch aktive Angriffe entwickeln, einen nicht auflösbaren Zielkonflikt. Aus diesem Grunde sollten staatliche Stellen die digitale Verteidigung von Bürgern und Wirtschaft organisatorisch strikt von der Entwicklung von Cyberangriffswaffen trennen.

Die Bundesregierungen haben diesen Punkt schon recht früh durch die Gründung des Bundesamtes für Sicherheit in der Informationstechnik teilweise adressiert. Hier erscheint es sinnvoll, eine weitere organisatorische Stärkung, etwa durch die Konstitution einer eigenen Bundesbehörde, umzusetzen. Diese könnte sich etwa an den Reformvorschlägen der Bundesdatenschutzbeauftragten Andrea Voßhoff zur organisatorischen Ausgestaltung und Stärkung der Unabhängigkeit des Bundesdatenschutzbeauftragten oder dem seit 2000 bestehenden Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein anlehnen.

Eine unabhängige Bundesbehörde für die Sicherheit in der Informationstechnik könnte, wie bereits seit Jahrzehnten der Datenschutz, eine deutsche Pionierleistung für eine freiheitlich demokratische Gestaltung des Internets darstellen.

Daten­spar­sam­keit als Querschnitts­auf­gabe

Beginnend mit dem Volkszählungsurteil des Bundesverfassungsgerichts hat sich in Deutschland ein weltweit beachtetes Datenschutzrecht in Gesetzgebung und Rechtsprechung entwickelt. Datensparsamkeit ist die verfassungsrechtlich und höchstrichterlich geforderte einzuhaltende Norm. Die Tatsache, dass gespeicherte Daten in der real existierenden IT-Welt nicht gesichert werden können, macht Datensparsamkeit zur Querschnittsaufgabe. 

Bedeutend für eine gesellschaftliche Einschätzung ist auch die Tatsache, dass neben den Diensten fremder Staaten, auch Privatpersonen und Firmen in der Praxis recht einfach (in der Regel rechtswidrigen) Zugriff auf die heutigen Computersystemen erlangen können. Es haben sich hier Online Marktplätze für ausnutzbare Sicherheitslücken (Zero-Days) gebildet, an denen sich in rechtlich problematischer Weise auch deutsche Dienste beteiligen. Die Preise sind schwankend, allerdings meist für höhere Einkommen und kleinere Firmen durchaus finanzierbar.

Heute müssen sich Datenschutzexperten daher auch in hochkonfliktäre Diskussionen einbringen. Das hier leider vorherrschende politische Diskussionsklima schreckt dabei verständlicher Weise viele Wissenschaftlern ab. Dennoch gebietet es die gesellschaftliche Verantwortung, darauf hinzuweisen, wenn technische Entwicklungen, wie eine allumfassende Überwachung oder die praktische Angreifbarkeit von Computersystemen, juristische Datenschutzzusicherungen praktisch unwirksam werden lassen. In der Computersicherheitsforschung herrscht die Meinung vor, dass Daten auf vernetzten Computersystemen generell als hackbar anzusehen sind. Wenn das nicht vorgesehene Veröffentlichen von Daten zu nicht akzeptablen Problemen führt, dürfen Daten nicht gespeichert werden.

Daten von besonders gefährdeten Perso­nen­gruppen

Bei einer Abwägung von Datenspeicherung ist neben der rechtlichen Sicherung von Daten gegen Zugriffe, die Auswirkungen von einer rechtswidrigen Veröffentlichung auf die Betroffenen in besonderer Weise zu berücksichtigen. Beispielsweise wurde in der Diskussion über eine Änderung des Prostitutionsgesetzes eine Pflichtregistrierung von Sexarbeiterinnen und Sexarbeitern gefordert. Dieses Vorgehen wurde von Frauenrechtlerinnen, Sozialorganisationen und Datenschützern heftig kritisiert. Von den Berufsvertreterinnen wurde in diesem Zusammenhang neben der Sorge vor staatlicher Diskriminierung (z. B. wie in Schweden) und gesellschaftlicher Ächtung durch religiösen oder politischen Fanatismus (z. B. Schwarzer-Kampagne), auch auf eine erhöhte Gefahr für Leib und Leben durch Triebtätern hingewiesen.

Während die beiden ersten Punkte Teil einer verbittert geführten Diskussion sind, auf die hier nicht näher eingegangen werden soll, ist es unstrittig, dass angesichts der erhöhten Gefährdung der zugesicherte juristische Datenschutz in keiner Weise als ausreichend angesehen werden kann (vergleiche auch Stellungnahme Deutscher Juristinnenbund). Um es mit den Worten vom Sprecher des Chaos Computer Club, Frank Rieger, zu formulieren, ist es unangemessen, besonders gefährdeten Frauen den Schutz der Anonymität zu entziehen und hier entgegenzuhalten, „dass der Rechtsstaat sie schon schützen wird, wenn der besoffene Ex mit der Eisenstange vor der Tür“ steht. Datenregister, welche zu erheblicher Gefährdung von ganzen Menschengruppen führen könnten, wie die historisch belasteten „Rosa Listen“ und Prostitutionsregister, sollten aus moralischen Gründen nicht eingerichtet werden.

Bewegungs­daten durch Smart­pho­ne-­Nut­zung

Neben den schon seit vielen Jahren vorgetragenen Argumenten gegen die Vorratsdatenspeicherung soll hier noch kurz auf einen technischen Aspekt hingewiesen werden. Wie unter anderem das mit dem Grimme Online Preis ausgezeichnete Blog netzpolitik.org aufzeigte, entstehen nach dem vorliegenden Entwurf zur Einführung der Vorratsdatenspeicherung durch die aktuell vorherrschende Form der Smartphone-Nutzung Bewegungsdaten einer völlig neuen Qualität. Aufgezeichnet werden genaue Bewegungsprofile aller Smartphone-Nutzern und dies sogar unabhängig davon, ob überhaupt telefoniert wird. Diese Daten sind ein Milliarden-Dollar Ziel. Ein derartiger Datenschatz würde eine Komplettanalyse der wirtschaftlichen und gesellschaftlichen Abläufe innerhalb Deutschlands ermöglichen.

Es steht zu befürchten, dass Cyberangreifern sich nicht in angemessener Weise um Richtervorbehalte oder den Schutz von Seelsorgern und Beratungsstellen kümmern würden. Ein paar einfache Datenbankabfragen liefern dann beispielsweise Politiker und Manager, die eine Alkoholberatungsstelle angerufen haben oder nach den Bewegungsdaten in einer Entzugsklinik behandelt wurden. Big Data als Alptraum.

Nicht nur wegen der zeitlichen Koinzidenz muss sich die Politik fragen lassen, wie für umfassende Überwachungsdaten eine reale Sicherheit versprochen werden kann, wenn sich zeitgleich selbst das wichtigste Verfassungsorgan reichlich hilflos gegenüber Cyberangriffen zeigt.

Wissen­schaft­liche Empfeh­lungen

Aus der Sicht theoriekundiger Praktiker_innen und praktisch orientierter Theoretiker_innen ergeben sich überraschend einfache Empfehlungen mit zu vernachlässigenden Kosten: Starke Kryptographie mit extra Sicherheitsspielraum.
Dies bedeutet auf der Algorithmenebene beispielsweise:

• Schlüssellänge größer gleich 4096 bit für RSA und DH
• die Verwendung von 256-bit Schlüssellänge für AES
• 512-bit Hash-Funktionen

Ohne volle Schlüsselkontrolle für die Anwendern und ohne lesbaren Code und offene Hardware helfen die besten kryptographischen Verfahren natürlich nicht gegen Geheimdiensthintertüren.

Open Source Sicherheit und Daten­spar­sam­keit als Staats­auf­gabe wahrnehmen

Open Source Software biete die Möglichkeit zum Auffinden von Hintertüren und Programmierfehlern. Eine Grundsicherheit für systemrelevante Open Source Programme sollte als Staatsaufgabe wahrgenommen werden. Daten, welche zur erheblichen Gefährdung von ganzen Menschengruppen führen könnten, sollten aus moralischen Gründen gar nicht erst erhoben werden.

Kryptographie und Offene Software sind mächtige Werkzeuge zur Sicherung der Digitalen Souveränität. Die Aufgabe die digitale Gesellschaft menschenwürdig zu gestalten, bleibt allerdings auch Aufgabe unseres freiheitlich demokratisch verfassten Gemeinwesens. Meinungsfreiheit, Datenschutz und Subsidiarität sind unsere gewachsenen Grundwerte, welche bescheiden und selbstbewusst in der weltweiten Diskussion eingebracht werden sollten.

RÜDIGER WEIS   ist Diplom-Mathematiker und Kryptograph. Er lebt und arbeitet in Berlin-Wedding und ist Professor für Informatik an der Beuth-Hochschule für Technik Berlin.

Anmerkungen

(1) Pressemitteilung vom 21.08.2013, Bonn, abrufbar unter https://www.bsi.bund.de/DE/Presse/Pres semitteilungen/Presse2013/Windows_TPM_Pl_21082013.html.

Der Beitrag Kryptographie, Open Source und Gesellschaft (vollständig) erschien zuerst auf Humanistische Union.

(Red.) Vor allem die Enthüllungen des Whistleblowers Edward Snowden haben gezeigt, dass die Möglichkeiten der Überwachung des Internets durch Staaten in weit größerem Ausmaß stattfanden und stattfinden, als angenommen wurde. Sie haben den Blick auf das Internet als Raum der unendlichen Möglichkeiten erheblich getrübt. Welchen Schutz bieten hier die Grundrechte, informationelle Selbstbestimmung und die Wahrung des Telekommunikationsgeheimnisses?

Das Internet sei, so schwärmte die jetzige Verfassungsrichterin Susanne Baer noch 2010, „ein großartiger Raum des Wissens, der Debatte, der Filme, der Musik, der Chats, der Blogs, der Aufsätze, der Lexika, der Chatter und Twitter. So viele Möglichkeiten!“(1) Inzwischen ist an die Stelle der Begeisterung vieler User_innen Ernüchterung getreten: „Konsum und Überwachung“ dominierten das Internet, klagt z. B. der bekannte Netztheoretiker Evgeny Morozov(2), und der Philosoph Byung-Chul Han spricht gar von  einem „digitalen Panoptikum“.(3)

Vor allem die Enthüllungen des Whistleblowers Edward Snowden haben zu der Einsicht geführt, dass das Netz inzwischen zu einem Instrument der elektronischen Massenüberwachung und -ausforschung geworden ist.(4) Für die allermeisten der nach Milliarden zählenden Nutzer und Nutzerinnen bleibt diese Überwachung allerdings nicht wahrnehmbar und damit abstrakt, was wohl zu einem Gutteil das Ausbleiben einer breiten Protestbewegung erklärt.(5) Zum Albtraum wird das Internet freilich für solche Personen, die sich aus bestimmten politischen bzw. gesellschaftlichen Gründen den Hass Andersdenkender zugezogen haben: Wer z. B. als Mitglied einer libanesischen Großfamilie seine Homosexualität offenbart(6) oder sich aktiv gegen die Umtriebe von Neonazis engagiert, muss nicht nur handfeste Beleidigungen, sondern auch Morddrohungen auf den elektronischen Kommunikationsplattformen gewärtigen. Er kann nie wissen, ob und wann aus diesen Drohungen blutiger Ernst wird oder ob sich die Absender auf verbale Aggressionen unter dem Schutz der vermeintlichen Anonymität des Netzes beschränken. Spätestens hier stellt sich die Frage, ob es sich beim Internet wirklich um einen rechtsfreien Raum handelt, in dem auch die Grundrechte keine Geltungskraft besitzen. Prinzipiell ist diese Frage zu verneinen: Ebenso wie in der gegenständlichen Welt „offline“ stoßen auch in der Cyberworld entgegengesetzte Interessen aufeinander, deren Ausgleich durch rechtliche Regelungen vorgenommen werden muss. Schwierigkeiten bei deren Durchsetzung ergeben sich vor allem daraus, dass das Internet keine geographischen Grenzen kennt. Die jeweils betroffenen Grundrechte der User_innen bedürfen also nicht nur der Anerkennung auf nationalstaatlicher Ebene, sondern auch eines Instrumentariums der supranationalen Durchsetzung – fürwahr eine Herkulesaufgabe für engagierte Datenschützer_innen sowie für die Bürgerrechtsbewegung! Ihnen gegenüber stehen schließlich nicht nur mächtige Geheimdienstorganisationen wie die NSA und deren politische Unterstützer, sondern auch multinationale Konzerne wie Google und Facebook, die sich als nimmersatte Datenkraken betätigen.

Zunächst ist jedoch eine Verständigung über das angestrebte Ziel notwendig. Der Begriff „Cyber-Sicherheit“ scheint sich nämlich zunächst nur auf die technische Seite zu beziehen und das unbeeinträchtigte Funktionieren der Hardware und Software zu meinen. Aus der Sicht der Grundrechte und des Datenschutzes zielt „Cyber-Sicherheit“ jedoch vor allem auf den Schutz der Menschen, deren Daten erhoben und verarbeitet werden: Wenn § 9 Bundesdatenschutzgesetz von den bei der Datenverarbeitung erforderlichen „technischen und organisatorischen Maßnahmen“ spricht, steht dahinter der Zweck des Gesetzes, „den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.“ (§ 1 Abs. 1 des Gesetzes). Solche Beeinträchtigungen können sowohl von staatlichen Stellen, insbesondere dem grenzenlosen Datenhunger der Geheimdienste, aber auch von privatrechtlich organisierten „Datenkraken“ ausgehen – „Cyber-Sicherheit“ zielt also in mehrere Richtungen.

Speziell für die Datenverarbeitung hat das Bundesverfassungsgericht schon vor Jahren aus dem allgemeinen Persönlichkeitsrecht das „Recht auf informationelle Selbstbestimmung“ abgeleitet, das seitdem im Mittelpunkt der Beschäftigung mit Datenschutzproblemen steht. Speziell für die Kommunikation über das Internet gilt indessen das Grundrecht auf Schutz des „Fernmeldegeheimnisses“, das in Art. 10 GG gewährleistet wird.

Das Telekom­mu­ni­ka­ti­ons­ge­heimnis und die Massen­über­wa­chung durch Geheim­dienste

Eine zentrale Rolle als Maßstab spielt das eben genannte Grundrecht aus Art. 10 GG vor allem bei der inzwischen von der Bundesregierung wieder anvisierten Vorratsdatenspeicherung aller Verkehrsdaten der Telekommunikation sowie bei der Massenausforschung durch die NSA und andere Geheimdienste. Der altbackene Begriff des „Fernmeldegeheimnisses“ wird inzwischen auch in der höchstrichterlichen Rechtsprechung durch den moderneren des „Telekommunikationsgeheimnisses“ ersetzt.(7)

Geschützt werden soll durch dieses Grundrecht „die unkörperliche Übermittlung von Informationen an individuelle Empfänger mit Hilfe des Telekommunikationsverkehrs“ vor einer Kenntnisnahme durch die öffentliche Gewalt(8). Hierzu zählen auch die – häufig nicht im Licht der Öffentlichkeit agierenden – Geheimdienste, weil sie Teil der staatlichen Exekutive („öffentliche Gewalt“) sind. Unbestritten ist des weiteren, dass das Telekommunikationsgeheimnis sowohl das klassische Telefongespräch als auch die Kommunikation über das Internet erfasst.(9)

Mit guten Gründen verweist das Bundesverfassungsgericht darauf, dass sich der Schutz dieses Grundrechts keineswegs nur auf die Kenntnisnahme vom Inhalt der jeweiligen Kommunikation erstreckt. Auch die Umstände der Kommunikation, also die Verkehrs- oder Verbindungsdaten, unterliegen dem grundrechtlichen Schutz.(10)

Warum die Erfassung und Auswertung nicht nur der Gesprächsinhalte, sondern auch schon der Verkehrsdaten in schwer wiegender Weise in das Grundrecht eingreift, hat das Gericht in seinem Urteil vom 2. März 2010 zur Vorratsdatenspeicherung anschaulich dargestellt:

„Die Aussagekraft dieser Daten ist weitreichend. Je nach Nutzung von Telekommunikationsdiensten seitens der Betroffenen lassen sich schon aus den Daten selbst – und erst recht, wenn diese als Anknüpfungspunkte für weitere Ermittlungen dienen – tiefe Einblicke in das soziale Umfeld und die individuellen Aktivitäten eines jeden Bürgers gewinnen….Adressaten (deren Zugehörigkeit zu bestimmten Berufsgruppen, Institutionen oder Interessenverbänden oder die von ihnen angebotenen Leistungen), Daten, Uhrzeit und Ort von Telefongesprächen erlauben, wenn sie über einen längeren Zeitraum beobachtet werden, in ihrer Kombination detaillierte Aussagen zu gesellschaftlichen oder politischen Zugehörigkeiten sowie persönliche Vorlieben, Neigungen und Schwächen derjenigen, deren Verbindungsdaten ausgewertet werden.“(11)

 

Aber würde, so ein möglicher Einwand, die Erstellung umfassender Persönlichkeitsprofile so vieler Menschen anhand der Verkehrsdaten ihrer Telekommunikation die Geheimdienste personell nicht heillos überfordern? Ein solcher Einwand würde die heutigen Möglichkeiten des millionenfachen automatisierten Data-Mining mit Hilfe von Algorithmen, wie sie nicht nur von der NSA, sondern auch z.B. von Google, Amazon und anderen Internetfirmen eingesetzt werden, ignorieren.

Das Bundesverfassungsgericht hat aus den Gefahren der massenhaften Auswertung von Verkehrsdaten zwar nicht die Konsequenz einer generellen Verfassungswidrigkeit der Vorratsdatenspeicherung gezogen, dem Einsatz dieses Überwachungsinstruments jedoch enge Grenzen gezogen.

Freilich schützt Art. 10 GG nur vor dem Zugriff der deutschen Staatsgewalt, nicht aber vor der Ausforschung durch die Geheimdienste anderer Staaten. Das bedeutet aber nicht, dass diese in einem grundrechtsfreien Raum agieren dürften. Immerhin haben 47 europäische Staaten die Europäische Menschenrechtskonvention (EMRK) unterzeichnet, deren Art. 8 den Schutz der Privatsphäre und der Korrespondenz verbürgt. Gegen die Überwachungspraxis des britischen Geheimdienstes GCHQ sind inzwischen Verfahren beim Europäischen Gerichtshof für Menschenrechte in Straßburg anhängig.(12)

Darüber hinaus zählt die Charta der Grundrechte der Europäischen Union inzwischen zum verbindlichen Normenbestand des Unionsrechts. Art. 7 dieser Charta normiert das Recht auf Achtung des Privat- und Familienlebens, Art. 8 den Schutz personenbezogener Daten. Auf der Grundlage dieser beiden Gewährleistungen erklärte der Europäische Gerichtshof am 8. April 2014 die EU-Richtlinie zur Vorratsdatenspeicherung für ungültig. Ebenso wie zuvor bereits das deutsche Bundesverfassungsgericht verwies es auf die besonderen Gefahren, die sich aus einer gezielten Auswertung der Verkehrsdaten der Telekommunikation ergeben: Aus der Gesamtheit dieser Daten könnten sich „sehr genaue Schlüsse auf das Privatleben“ der betroffenen Personen ergeben.(13) Nur unter engen Voraussetzungen ließ das Gericht die Anwendung dieser Maßnahme auf der Grundlage einer zukünftigen Regelung zu. Wir dürfen gespannt sein, wie die deutsche Bundesregierung bei ihrem Vorhaben, die Vorratsdatenspeicherung (wieder) einzuführen, die vom Bundesverfassungsgericht und vom Europäischen Gerichtshof errichteten hohen Hürden überwinden will. Zwar bieten die deutschen und die europäischen Grundrechte keinen Schutz vor den Geheimdiensten der USA und anderer Staaten außerhalb Europas. Die USA haben jedoch den Internationalen Pakt über bürgerliche und politische Rechte (UNO-Zivilpakt) von 1966 unterzeichnet, dessen Art. 17 zum Schutz der Privatsphäre und der Korrespondenz verpflichtet. Anders als auf der deutschen sowie auf der europäischen Ebene gibt es jedoch keinen Gerichtshof, der die Einhaltung dieses Menschenrechtspakts überwacht, sondern lediglich eine Berichtspflicht der Unterzeichnerstaaten sowie eine Kontrolle durch den UNO-Menschenrechtsrat sowie den Menschenrechtsausschuss.(14) Beim völkerrechtlichen Menschenrechtsschutz handelt es sich teilweise um „soft law“, dessen Durchsetzungskraft sich eher auf Appelle an die Staaten und das möglicherweise öffentlichkeitswirksame Aufzeigen von Missachtungsfällen beschränkt.(15)

Inzwischen gibt es in der Rechtswissenschaft allerdings zahlreiche Stimmen, die darauf verweisen, dass einem Grundrecht wie dem Schutz des Telekommunikationsgeheimnisses nicht nur eine Abwehrfunktion gegenüber der deutschen Staatsgewalt zukommt. Vielmehr statuierten die den Schutz der Privatsphäre betreffenden Grundrechte darüber hinaus eine Schutzpflicht des Staates gegenüber Eingriffen von anderer Seite, also insbesondere auch durch andere Staaten. Angemahnt wird die Erfüllung dieser Schutzpflicht z. B. durch die drei Gutachter Matthias Bäcker, Wolfgang Hoffmann-Riem und Hans-Jürgen Papier, die vor dem NSA-Untersuchungsausschuss des Bundestages auftraten.(16) Die Aktivität der Bundesregierung, um dieser Schutzpflicht im Hinblick auf die Massenüberwachung durch NSA, GCHQ u. a. nachzukommen, tendiert allerdings gegen Null. Dies liegt sicher daran, dass die „freundschaftlichen“ Beziehungen zu den USA nicht getrübt werden sollen, vor allem aber profitiert der eigene Geheimdienst BND erheblich von seiner Zusammenarbeit mit den Diensten der USA und der anderen EU-Staaten. Der BND überwacht selbst in massiver Weise die Telekommunikation im Ausland und stützt sich dabei auf eine zu enge Auslegung des Art. 10 GG. Danach soll dieser für die Auslandstelekommunikation nicht gelten, obwohl in diesem Fall die Staatsgewalt Deutschlands handelt, deren Bindung an die Grundrechte, Art. 1 Abs. 3 GG, eben nicht an den deutschen Staatsgrenzen endet.(17)

Im Übrigen ist die Ausgestaltung der Schrankenbestimmung in Art. 10 Abs. 2 GG durch die Notstandsgesetzgebung im Jahre 1968 im Hinblick auf den hohen Stellenwert des Telekommunikationsgeheimnisses für den Schutz der Privatsphäre alles andere als überzeugend. Unter welchen Voraussetzungen die verschiedenen deutschen „Sicherheitsbehörden“ die Telekommunikation der Bürger und Bürgerinnen überwachen dürfen, ist angesichts der auf verschiedene Gesetze verteilten Eingriffsermächtigungen selbst für Jurist_innen kaum noch nachvollziehbar.(18) Vor allem aber wird der Ausschluss des „Rechtsweges“ gegen Überwachungsmaßnahmen durch die parlamentarischen Kontrollausschüsse in keiner Weise kompensiert – bei diesen Gremien handelt es sich nach wie vor um „blinde Wächter ohne Schwert“.(19)

Infor­ma­ti­o­nelle Selbst­be­stim­mung gegenüber globalen Daten­kra­ken?

Die Nutzer der sozialen Netzwerke wie Facebook oder der Suchmaschine Google, so klagte die Berliner Soziologin Marianne Egger de Campo, „haben kein Bewusstsein davon, wie viel Macht durch die kommerzielle Verwertung ihrer Datenspuren im vermeintlich freien Internet entsteht.“(20) Dabei geht es längst nicht allein um die Generierung von Interessenprofilen der Betroffenen zwecks passgenauer Werbung. Die kaum vorstellbaren Mengen personenbezogener Daten bei den globalen Internetfirmen bieten darüber hinaus eine unerschöpfliche Fundgrube für die Geheimdienste und Strafverfolgungsbehörden sowohl demokratischer als auch diktatorisch regierter Staaten, aus deren Sicht die privaten Datenkraken quasi als Nutztiere fungieren. Es ist kaum anzunehmen, dass die Mehrzahl der Internetnutzer_innen weiß, wer sich der von ihnen preisgegebenen Daten zu welchem Zweck bedient, geschweige denn, welche persönlichen Folgen sich daraus ergeben können. Viele mögen auch den Beteuerungen der Verantwortlichen glauben, dass die Überwachung nur dem Aufspüren von Terroristen diene, nicht aber etwa der Absicherung ökonomischer und politischer Machtinteressen.

In dieser Situation stellt sich die Frage, ob das hier einschlägige Grundrecht auf informationelle Selbstbestimmung überhaupt noch mehr ist als eine bloße Wunschvorstellung ohne Chance auf Realisierung. Tatsächlich verdankt sich dieses Grundrecht nicht einer Verfassungsschöpfung oder dem „einfachen“ Gesetzgeber in Deutschland, sondern dem Urteil des Bundesverfassungsgerichts vom 15. Dezember 1983 zur damaligen Volkszählung. Aus der Sicht des heutigen Ubiquitous Computing und der gegenwärtigen Möglichkeiten des umfassenden Data Mining, Web Tracking usw. muten die damaligen Feststellungen des Gerichts zum Gefährdungspotential der elektronischen Datenverarbeitung geradezu prophetisch an: Es verwies darauf, dass personenbezogene Daten mit Hilfe der automatischen Datenverarbeitung „technisch gesehen unbegrenzt speicherbar und jederzeit ohne Rücksicht auf Entfernungen in Sekundenschnelle abrufbar sind. Sie können darüber hinaus – vor allem beim Aufbau integrierter Informationssysteme – mit anderen Datensammlungen zu einem teilweise oder weitgehend vollständigen Persönlichkeitsbild zusammengefügt werden, ohne dass der Betroffene deren Richtigkeit und Verwendung zureichend kontrollieren kann. Damit haben sich in einer bisher unbekannten Weise die Möglichkeiten einer Einsicht- und Einflussnahme erweitert, welche auf das Verhalten des Einzelnen schon durch den psychischen Druck öffentlicher Anteilnahme einzuwirken vermögen.“(21) Die Datenverarbeitung ermöglicht, wie das Gericht schon damals erkannte, also nicht nur die Kontrolle des Einzelnen, sondern auch eine – wenn auch indirekte – Steuerung seines Verhaltens. Aus dieser Gefährdungslage folgerte das Bundesverfassungsgericht die Notwendigkeit eines spezifischen grundrechtlichen Schutzes :

„Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus….Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.“(22)

Angesichts dieser umfassenden Definition des Rechts auf informationelle Selbstbestimmung erscheint das später im Urteil zur „Online-Durchsuchung“ vom Gericht kreierte „Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“(23)eigentlich als entbehrlich, wie auch von vielen Kommentatoren gerügt wurde. (24) Schließlich soll es bei dem neuen sog. „Computergrundrecht“ nicht um den Schutz der „informationstechnischen Systeme“ um ihrer selbst willen gehen, sondern um den Schutz vor Gefährdungen, die sich aus der Generierung und Ausleitung personenbezogener Daten quasi „hinter dem Rücken“ der Nutzer_innen hochentwickelter IT-Geräte (PC, Smartphone) ergeben.(25)

Aber schon nach seiner obigen Definition schützt das Recht auf informationelle Selbstbestimmung nicht nur vor der Erhebung und Verarbeitung einzelner Daten, sondern auch vor der elektronischen Ausforschung z. B. vermittels eines „Bundestrojaners“, weil damit die Selbstbestimmung des Betroffenen aufgehoben wird. Freilich hat das Bundesverfassungsgericht schon in seinem Volkszählungsurteil erkannt, dass „informationelle Selbstbestimmung“ nicht im Sinne einer absoluten, unbeschränkten Herrschaft des Einzelnen über „seine“ Daten zu verstehen ist. Das Grundrecht unterliegt vielmehr wegen der Notwendigkeit des Ausgleichs mit gesellschaftlichen Interessen bzw. des Schutzes der Rechtsgüter anderer bestimmten Beschränkungen. Diese müssten allerdings durch den Gesetzgeber genau definiert werden. Sie bedürfen, so das Gericht, „einer (verfassungsmäßigen) gesetzlichen Grundlage, aus der sich die Voraussetzungen und der Umfang der Beschränkungen klar und für den Bürger erkennbar ergeben und die damit dem rechtsstaatlichen Gebot der Normenklarheit entspricht.“(26) – Damit statuierten die Richter und Richterinnen ein gewaltiges Arbeitsprogramm für die Gesetzgeber von Bund und Ländern, weil nunmehr „bereichsspezifische“ Regelungen für die Datenverarbeitung der verschiedenen Zweige der öffentlichen Verwaltung geschaffen werden mussten. Im Ergebnis wurde damit allerdings eine Art „paradoxer Verrechtlichung“ der staatlichen EDV-Praxis erreicht: Die neugeschaffenen Eingriffsregelungen (insbesondere für Polizei und Geheimdienste) sind häufig in einem Maße durch generalklauselartig formulierte Tatbestände geprägt, dass sie in der Praxis eher eine Entgrenzung statt eine Einhegung staatlichen Handelns bewirken. Zu Recht sprach der ehemalige Verfassungsrichter Wolfgang Hoffmann-Riem angesichts dieser Entwicklung vom „Datenschutz in der Verrechtlichungsfalle“.(27)

Im Volkszählungsurteil ging es um den „Datenhunger“ des Staates. Angesichts der oben dargestellten Entwicklung bedarf es aber auch eines wirksamen Schutzes gegenüber dem unkontrollierten Zugriff der privatrechtlich organisierten Datenkraken vom Schlage Google und Facebook. Das Geltendmachen von Grundrechten stößt dabei aber auf zwei Schwierigkeiten: Prinzipiell werden die meisten Grundrechte als Abwehrrechte gegenüber der Staatsgewalt verstanden, nicht aber als Rechtstitel gegenüber Privaten.(28) Es kommt hinzu, dass die genannten sowie auch andere global tätige Internetunternehmen ihren Hauptsitz in den USA haben, also außerhalb des Geltungsbereichs des Grundgesetzes. Wer die Dienste von Google u. a. in Anspruch nimmt, handelt damit im Rahmen seiner Privatautonomie, zu der auch die Vertragsfreiheit gehört. Von einer freien Aushandlung des Vertragsinhalts kann dabei angesichts des überwältigenden Machtungleichgewichts der Internetkonzerne und der Nutzer_innen allerdings keine Rede sein. Letzteren bleibt kaum etwas anderes übrig, als die Geschäftsbedingungen der Datenkraken zu akzeptieren. Deren Geschäftsmodell beruht schließlich auf der umfassenden Auswertung und Vermarktung der ihnen gelieferten Datenmengen.(29) Was dabei genau geschieht, weiß kaum eine der inzwischen nach Milliarden zählenden Kund_innen. Nehmen wir als Beispiel nur einen scheinbar so harmlosen Vorgang wie das Betätigen des Like-Buttons („Gefällt mir“) von Facebook. Was vielen als eine Art Volksabstimmung zu allen möglichen Fragen erscheinen mag, nutzt die Internetfirma zur Erstellung von Persönlichkeitsprofilen anhand von Algorithmen. Wer z. B. die Kultmotorräder von Harley-Davidson sowie die Filmfigur Clark Griswold gut findet, wird von Facebooks Auswertungssystem als „weniger intelligent“ eingestuft.(3)

Die Problematik, dass es unter den ökonomischen Verhältnissen von heute um Vertragsfreiheit und Selbstbestimmung des Einzelnen häufig schlecht bestellt ist, hat auch das Bundesverfassungsgericht richtig erkannt: Privatautonomie, so das Gericht, setze voraus,

 

„dass auch die Bedingungen freier Selbstbestimmung tatsächlich gegeben sind. Hat einer der Vertragsteile ein so starkes Übergewicht, dass er vertragliche Regelungen praktisch einseitig setzen kann, bewirkt dies für den anderen Vertragsteil Fremdbestimmung.“(31)

In einer Entscheidung vom 23. Oktober 2006 zur Preisgabe von Daten gegenüber einer Lebensversicherung hat das Gericht daraus die richtige Schlussfolgerung gezogen: „Das allgemeine Persönlichkeitsrecht gewährleistet, dass in der Rechtsordnung gegebenenfalls die Bedingungen geschaffen und erhalten werden, unter denen der Einzelne selbstbestimmt an Kommunikationsprozessen teilnehmen und so seine Persönlichkeit entfalten kann. Dazu muss dem Einzelnen ein informationeller Selbstschutz auch tatsächlich möglich und zumutbar sein. Ist das nicht der Fall, besteht eine staatliche Verantwortung, die Voraussetzungen selbstbestimmter Kommunikationsteilhabe zu gewährleisten. In einem solchen Fall kann dem Betroffenen staatlicher Schutz nicht unter Berufung auf eine nur scheinbare Freiwilligkeit der Preisgabe bestimmter Informationen versagt werden. Die aus dem allgemeinen Persönlichkeitsrecht folgende Schutzpflicht gebietet den zuständigen staatlichen Stellen vielmehr, die rechtlichen Voraussetzungen eines wirkungsvollen informationellen Selbstschutzes bereitzustellen.“(32) Die Annahme einer solchen Schutzpflicht des Staates speziell im Hinblick auf das Recht auf informationelle Selbstbestimmung der Bürger_innen ist in der neueren rechtswissenschaftlichen Literatur mit guten Gründen auf breite Zustimmung gestoßen.(33)

Licht am Horizont?

Aus grundrechtlicher Sicht steht der Staat mithin in der Verantwortung, durch geeignete Maßnahmen insbesondere auf dem Gebiet der Gesetzgebung der absehbaren Entwicklung zu einer „digitalen Diktatur“(34) einen Riegel vorzuschieben. Geeignete Regelungsvorschläge hierfür gibt es längst: Am 18. März 2010 legte die Konferenz der Datenschutzbeauftragten ein sog. Eckpunktepapier mit dem Titel „Ein modernes Datenschutzrecht für das 21. Jahrhundert“ vor. Oberstes Ziel einer Modernisierung muss es danach sein,

„die Betroffenen als Grundrechtsträger wieder in den Mittelpunkt zu rücken und den wachsenden Gefährdungen ihrer Menschenwürde und Handlungs- und Verhaltensfreiheit durch die technische Entwicklung und die moderne Massendatenverarbeitung entgegenzutreten.“(35)

Ein auf Deutschland begrenztes Datenschutzrecht wäre angesichts der globalen Datenströme im Internet freilich weitgehend wirkungslos. Grundsätzlich ist deshalb der Vorstoß der EU zu begrüßen, eine neue Datenschutzgrundverordnung mit Verbindlichkeit für alle ihre Mitgliedstaaten zu schaffen. Im Mittelpunkt des im Januar 2012 von der Europäischen Kommission vorgelegten Entwurfs für die Verordnung steht allerdings nicht das Recht auf informationelle Selbstbestimmung, sondern die Freiheit des Wettbewerbs beim Verkehr mit personenbezogenen Daten.(36) Die positiven Ansätze wurden unter dem Druck der mächtigen Lobby der datenverarbeitenden Konzerne verwässert, und der Prozess der Verabschiedung bewegt sich mit der Geschwindigkeit einer Schnecke. Die deutsche Bundesregierung gehört keineswegs zu den treibenden Kräften der Reform, sondern hat vielmehr im „Bremserhäuschen“ Platz genommen.(37) Noch grundsätzlicher fällt die Kritik des an der Berliner Universität der Künste lehrenden Philosophen Byung-Chul Han aus:

„Die Politik überlässt die Digitalisierung der Gesellschaft der Ökonomie. Es findet keine politische Steuerung statt. Die weitgehende Untätigkeit der Politik, ja deren Lähmung ist der eigentliche Skandal.“(38)

Sollten wir unsere Hoffnung statt dessen auf das Bundesverfassungsgericht richten? Dieses hat mit seinem oben bereits zitierten Volkszählungsurteil wie auch mit seinen Entscheidungen zum „Lauschangriff“ oder auch zur Vorratsdatenspeicherung zweifellos verfassungsrechtliche Pflöcke gegen eine überbordende Datensammelwut des Staates gesetzt. Auf der anderen Seite ist aber nicht zu übersehen, dass gerade die Entscheidungen zu Datenschutzfragen in den letzten Jahren wie z. B. das Urteil vom 24. April 2013 zur „Antiterrordatei“(39) von einer Haltung des Kompromisses mit den Protagonisten des „Sicherheitsstaates“, wenn nicht gar von Widersprüchen geprägt sind. Einerseits werden dort hehre Prinzipien wie ein „informationelles Trennungsprinzip“ zwischen Nachrichtendiensten und Polizeibehörden formuliert, andererseits deren Wirksamkeit für die staatliche Praxis durch „Großzügigkeit“ bei der Prüfung der entsprechenden Eingriffsnormen konterkariert.

Und was Verfahren wegen einer möglichen Missachtung der grundrechtlichen Schutzpflicht des Staates anbetrifft: Insoweit lässt das Gericht den politischen Instanzen weitgehend freie Hand. Dem Gesetzgeber komme „ein weiter Einschätzungs-, Wertungs- und Gestaltungsspielraum zu. Das Bundesverfassungsgericht kann die Verletzung einer solchen Schutzpflicht nur feststellen, wenn Schutzvorkehrungen entweder überhaupt nicht getroffen sind, wenn die getroffenen Regelungen oder Maßnahmen offensichtlich ungeeignet oder völlig unzulänglich sind, das gebotene Schutzziel zu erreichen, oder wenn sie erheblich hinter dem Schutzziel zurückbleiben.“(40) Dies hat das Gericht bisher nur in wenigen Fällen angenommen, so insbesondere in den beiden Urteilen von 1975 und 1993 zum Schwangerschaftsabbruch, in denen aus dem Recht auf Leben des Ungeborenen detaillierte Festlegungen des Gesetzgebers abgeleitet wurden.(41)

Es bleiben die Möglichkeiten des Einzelnen zum technischen Selbstschutz als Mittel gegen Überwachung und Ausforschung. Dieser setzt allerdings sowohl ein entsprechendes Problembewusstsein als auch bestimmte Fertigkeiten, über die bisher nur wenige User_innen verfügen, voraus. Die Entwicklung einfacher Verschlüsselungsmöglichkeiten („crypto for grandma“) wäre insoweit sicher ein wichtiger Schritt in die richtige Richtung.(42) Darüber hinaus ist die Kärrnerarbeit der Aufklärung über die Risiken des Netzes auch weiterhin unverzichtbar. „Wir haben doch nichts zu verbergen“? Dies mögen auch zahlreiche Menschen in Deutschland bei der „Volks- und Berufszählung“ 1933 und 1939 gedacht haben, bei der flächendeckend Hollerith-Maschinen, die Vorläufer der heutigen Computer, zur Auswertung eingesetzt wurden. Sie boten die technische Grundlage zur perfekten Erfassung aller Juden im Deutschen Reich und waren damit Voraussetzung für die Durchführung des quasi industriell betriebenen Massenmords, des Holocaust.(43) Das Beispiel schreckt, selbst wenn eine totalitäre Herrschaft in der Zukunft sich, wie zu hoffen ist, weit weniger grausam gestalten würde.

MARTIN KUTSCHA   ist Staatsrechtsprofessor im Ruhestand und im Bundesvorstand der Humanistischen Union. Zuletzt war er in den vorgängen 206/207 in einem Streitgespräch mit Kurt Graulich und Rosemarie Will zu Massenüberwachung vertreten.

Anmerkungen:

(1)  Susanne Baer, Braucht das Grundgesetz ein Update? Demokratie im Internetzeitalter, Blätter f. dt. u. intern. Politik 1/2011, S. 90 (94); in diesem Vortragstext vom November 2010 werden allerdings auch schon einige Bedenken zum Ausdruck gebracht.

(2)  Evgeny Morozov, Wer hat das Netz verraten? „Die Zeit“ Nr. 33 v. 8. 8. 2013, S. 41.

(3)  Byung-Chul Han, Unsere gefühlte Freiheit, „Der Freitag“ Nr. 41 v. 9. 10. 2014, S. 13.

(4)  Vgl. dazu die Schwerpunktbeiträge der Vorgänge 206/207 (2014).

5)  Vgl. Rolf Gössner, „Sicherheitsrisiko Mensch“, Grundrechte-Report 2014, S. 16 (17); Martin Kutscha, Offene Fragen zum Überwachungs-GAU, Vorgänge 204 (2013), S. 89 (95).

(6)  Vgl. z. B. „Berliner Zeitung“ v. 26. 2. 2015 zum Fall Nasser.

(7)  Vgl. z. B. Bundesverfassungsgerichtsentscheidungen (BVerfGE) 125, 260 (309).

(8)  BVerfGE 106, 28 (35 f.).

(9)  BVerfGE 120, 274 (307).(10) Vgl. z. B. BVerfGE 115, 166 (183).

(11) BVerfGE 125, 260 (319).

(12) Zu dessen bisheriger Rechtsprechung zu Art. 8 EMRK vgl. Martin Kutscha a. a. O. (Anm. 5), S. 93.

(13) EuGH, Neue Zeitschrift für Verwaltungsrecht 11/2014, 709 (710).

14) Vgl. im Einzelnen Martin Kutscha a. a. O., S. 92.

(15) Vgl. Eric Töpfer, Wie das Menschenrecht auf Privatheit in seiner Krise an Profil gewinnt, Vorgänge 206/207 (2014), S. 31 ff.

(16) Vgl. die Darstellung bei Sven Lüders, Deutsche Rechtspositionen zur Überwachungsaffäre, Vorgänge 206/207 (2014), S. 7 (17 ff.).

(17) Vgl. Bertold Huber, Die Fernmeldeaufklärung des Bundesnachrichtendienstes – Rechtsgrundlagen und bestehende Regelungsdefizite, Vorgänge 206/207 (2014), S. 42 (47 f.); Matthias Bäcker, Strategische Telekommunikationsüberwachung auf dem Prüfstand, Kommunikation & Recht 9/2014, S. 556 (560 f.).

(18) Vgl. im Einzelnen Fredrik Roggan, Kommentar zum Gesetz zur Beschränkung des Brief-, Post- und Fernmeldegeheimnisses (G 10), Das deutsche Bundesrecht, Baden-Baden 2012, I A 35; Martin Kutscha/Sarah Thomé, Grundrechtsschutz im Internet? Baden-Baden 2013, S. 65 ff.

(19) Christoph Gusy, Parlamentarische Kontrolle der Nachrichtendienste im demokratischen Rechtsstaat, Zeitschrift für Rechtspolitik 1/2008, S. 36 (39); vgl. auch das Streitgespräch zwischen Kurt Graulich und Martin Kutscha, Vorgänge 206/207 (2014), S. 22 ff.

(20) Marianne Egger de Campo, Neue Medien – alte Greedy Institutions, Leviathan 1/2014, S. 7 (22).

(21) BVerfGE 65, 1 (42).

(22) BVerfGE 65, 1 (43).

(23) BVerfGE 120, 274.

(24) Vgl. im Einzelnen Martin Kutscha, Das „Computer-Grundrecht“ – eine Erfolgsgeschichte? Datenschutz und Datensicherheit 6/2012, 391 ff.

(25) Vgl. Wolfgang Hoffmann-Riem, Der grundrechtliche Schutz der Vertraulichkeit und Integrität eigengenutzter informationstechnischer Systeme, Juristenzeitung 21/2008, 1009 (1011), der als Berichterstatter an dem Urteil maßgeblich beteiligt war.

(26) BVerfGE 65, 1 (44).

(27) BVerfGE 65, 1 (44).

(28) Vgl. Andreas Fisahn/Martin Kutscha, Verfassungsrecht konkret. Die Grundrechte, 2. Aufl., Berlin 2011, S. 5 f.

(29) Vgl. Moritz Karg/Sven Thomsen, Tracking und Analyse durch Facebook, Datenschutz und Datensicherheit 10/2012, S. 792 ff.; Thilo Weichert, Big Data und Datenschutz, Zeitschrift für Datenschutz 6/2013, S. 251 ff.

(30) Götz Schartner, Wie Facebook die Intelligenz der Nutzer analysiert, „Berliner Zeitung“ v. 28. 2./ 1. 3. 2015.

(31) BVerfGE 81, 242 (255).

(32) BVerfG (Kammerentscheidung), Deutsches Verwaltungsblatt 2/2007, S. 111 (112).

(33) Vgl. nur Matthias Bäcker, Grundrechtlicher Informationsschutz gegen Private, Der Staat 51 (1/2012), S. 91 (99 f.); Gerald Spindler, Persönlichkeitsschutz im Internet, München 2012, S. 100; Norbert Ullrich, Die Verpflichtung der Exekutive und Legislative zum Schutz deutscher Bürger vor der Ausspähung durch ausländische Geheimdienste, Deutsches Verwaltungsblatt 4/2015, S. 204 (207 ff.); Martin Kutscha/Sarah Thomé a. a. O. (Anm. 18), S. 48 ff.

(34) Thilo Weichert, Globaler Kampf um digitale Grundrechte, Kritische Justiz 2/2014, 123 (125).

(35) Abgedruckt in: Bundesbeauftragter für Datenschutz und Informationsfreiheit, 23. Tätigkeitsbericht 2009-2010, S. 169 (175).

(36) Vgl. Edgar Wagner, Der Entwurf einer Datenschutz-Grundverordnung der Europäischen Kommission, Datenschutz und Datensicherheit 9/2012, S. 676 ff.

(37) Peter Schaar, EU-Datenschutz: Schluss mit der Verzögerungstaktik! Zeitschrift für Datenschutz 3/2014, S. 113 (114).

(38) Byung-Chul Han a. a. O. (Anm. 3).

(39) BVerfG, Neue Juristische Wochenschrift 21/2013, S. 1499 ff.; dazu Rosemarie Will, Das Bundesverfassungsgericht und die Anti-Terror-Datei, Vorgänge 201/202 (2013), S. 102 ff.; Michael Plöse, Was Karlsruhe nicht verbietet, macht Berlin nur dreister, Vorgänge 206/207 (2014), S. 122 (124 ff.).

(40) BVerfGE 125, 39 (78/79).

(41) BVerfGE 39, 1 und BVerfGE 88, 203.

(42) Vgl. z. B. Alexander Dix, Rechtspolitische und technische Maßnahmen für einen effektiven Datenschutz, Vorgänge 206/207 (2014), S. 66 (71)

(43) Vgl. Edwin Black, IBM und der Holocaust, München/Berlin 2001, S. 216 ff.

Der Beitrag Cyber-Sicherheit im grundrechtsfreien Raum? (vollständig) erschien zuerst auf Humanistische Union.

(Red.) Der NSA-Skandal hat neben der Tatsache der flächendeckenden Überwachung auch die rasante Entwicklung im Bereich von Cyber-Angriffswaffen in den Blickpunkt gerückt. Etliche Staaten, hier vor allem Geheimdienste und Militärs, wenden sehr weitreichende und gezielte Mittel gegen vermutete Gegner_innen an, die immer wieder mit dem Hinweis auf terroristische Aktivitäten gerechtfertigt werden. Dabei hat sich die Ressourcenverteilung deutlich verschoben: mittlerweile übersteigen die Mittel für eigene Angriffsoperationen weitaus die Summen an Geldern, die zur digitalen Gefahrenabwehr bzw. Strafverfolgung eingesetzt werden.

“What is the difference between attacking a country’s weapon-making machinery through a laptop computer or through bunker-buster [bombs]?” (Sanger, 2013: 245)

Schon bevor der Name Edward Snowden weltweite Aufmerksamkeit erlangte, wurde in den Medien bereits über einen der wesentlichen Auslöser seines Entschlusses berichtet, sich an die Öffentlichkeit zu wenden. Snowden erklärte später in einem Interview, dass ihn nicht allein die Überwachung amerikanischer Staatsbürger _innen zur Veröffentlichung der Dokumente bewegt habe, sondern dass vor allem auch die Entwicklung neuer Cyber-Angriffswaffen sein Handeln deutlich beschleunigt habe (Bamford, 2014). Die Überwachung durch die National Security Agency, NSA, hat seither die öffentliche Debatte bestimmt. Cyber Warfare als das weit größere Risiko für die Zivilgesellschaft und die internationale Sicherheit blieb dagegen im Hintergrund. Die von Snowden ermöglichten Einblicke zeigen nun recht detailliert den Umfang dieser von unterschiedlichen Akteuren weltweit betriebenen Aktivitäten auf.

Überwachung für den Cyber War

Die Vorbereitung und Umsetzung der als „Cyber Warfare“ bezeichneten Form der Computermanipulation durch Militärs und Geheimdienste ist der Öffentlichkeit zwar schon länger und ganz unabhängig der von Snowden zugänglich gemachten Dokumente bekannt, die potentiellen Folgen sind ihr jedoch nicht bewusst. Eine Gesellschaft, deren Infrastrukturen abhängig sind vom zuverlässigen Funktionieren von Computern und Kommunikationsnetzen, muss mittlerweile jedoch – wenn auch widerwillig – zur Kenntnis nehmen, in welchem Ausmaß ihre Steuerungstechnik manipulierbar und zum Spielball von Militärs und Geheimdiensten geworden ist.

Die Opfer sind nämlich keineswegs nur gegnerische Militärs. So verübte der eng mit der NSA kooperierende britische Geheimdienst GCHQ einen ausgefeilten Cyberangriff auf die Systemadministrato_innen der belgischen Telekommunikationsgesellschaft BELGACOM. Das Ziel war, zuerst deren Rechner zu infizieren und zu kapern, um dann Schadsoftware in die Systeme der BELGACOM einzuschleusen, um im dritten Schritt dann deren Kund_innen – u.a. die EU-Kommission – ausspionieren zu können (Gallagher, 2014).

Genutzt wurden für diese Operationen automatisierte Cyberwaffen mit dem Namen „Turbulence“ und „QFire“, die dazu entwickelt wurden, den Datenverkehr eines Zieles zu manipulieren und Schadcode innerhalb von Millisekunden in dessen Datenstrom einzuschleusen, bevor die vom Opfer im Internet gesuchte Webseite antworten kann. Die Voraussetzung für „QFire“ und andere Werkzeuge des „Quantum“-Werkzeugkastens wiederum ist es, dass bei irgendeinem der Internet-Provider oder Telekommunikationsunternehmen möglichst nahe dem anvisierten Ziel ein Computer gekapert wurde und dort mehrere virtuelle Maschinen ohne Wissen des Netzbetreibers installiert und ferngesteuert betrieben werden. Dienste wie die NSA verfügen über gestufte und aufeinander abgestimmte Manipulations- und Angriffssysteme, die Angriffsmöglichkeiten für jede Art von IT-Systemen umfassen – von solchen in Nordkorea bis zu solchen hier bei uns.

Aber nicht nur Systemadministrator_innen sind wegen ihrer Zugangsmöglichkeiten bevorzugte Angriffsziele. Jede und jeder mit einem nicht ausreichend abgesicherten Computer kann sich als Teil von Angriffsoperationen der NSA oder anderer Dienste wiederfinden. Die Dienste kapern die Computer nichtsahnender Nutzer_innen für ferngesteuerte Botnetz-Operationen und starten von diesen Rechnern aus Denial-of-Service-Attacken (1) oder legen dort einfach nur ausspionierte Daten ab, um selbst einen Tatverdacht von sich weisen zu können (Poulsen, 2014; Storm, 2015).

Integrierte Cyber-­An­griffs­waffen

Computermanipulationen werden in aller Regel mit jugendlichen oder kriminellen Hacker_innen in Verbindung gebracht. Diese beiden zivilen Akteursgruppen kommen über die Amateurliga nicht hinaus, vergleicht man ihre Ressourcen mit denen von Geheimdiensten und Militärs. Durch Anhörungen des U.S.-Kongresses wurde 2007 bekannt, dass die NSA in den Jahren 2005 bis 2007 annähernd zwei Milliarden US-Dollar für die Entwicklung des später für die BELGACOM-Angriffe genutzte Systeme „Turbulence“ sowie für das System „Turmoil“ aufwandte. Der Kongress bemängelte den hohen Aufwand bei damals noch wenig vorzeigbaren Ergebnissen. Beide Systeme dienen heute der massiven Datensammlung, Manipulation und Kontrolle von Internet-Knotenpunkten und Computersabotage durch selektive Modifikation von Datenpakten (Gorman, 2007).(2) Doch diese vor fast 10 Jahren entwickelten und weiterhin eingesetzten Systeme „Turmoil“ und „Turbulence“ sind nur ein sehr kleiner Teil des Werkzeugkastens der NSA.

Moderner und in der Leistung viel breiter ist das in den Medien oft zitierte NSA-System „XKeyScore“ (Greenwald, 2013; Lischka, Stöcker, 2013), das auch Bundesnachrichtendienst und Bundesamt für Verfassungsschutz einsetzen (Spiegel Online, 2013). XKeyScore wurde medial bekannt als ein Werkzeug der NSA, für die umfassende Erhebung, Analyse und Strukturierung von Inhalten und Metadaten aller Art von Kommunikationsvorgängen von E-Mails, über Chats bis zu Videokonferenzen.

Während hierzulande über die Erkenntnisse aus der automatisierten Metadatenanalyse von Kommunikationsnetzen und der Gewinnung von Informationen aus Google-Suchanfragen berichtet wurde, wies ein Bericht für das EU-Parlament zu XKeyScore schon wenige Wochen nach Beginn der Enthüllungen im September 2013 auch auf dessen Funktionalität als automatisiertes Angriffswerkzeug hin (European Parliament, 2013: 14). „XKeyScore“ erlaubt es, Daten- und Kommunikationsverkehr in Echtzeit zu durchsuchen.(3) So lassen sich etwa alle verschlüsselten Kommunikationsverbindungen in einer Region oder die Suche bei Google mit „verdächtigen“ Schlüsselworten herausfiltern. IT-Sicherheitsfachleuten erschloss sich, dass „XKeyScore“ zusätzlich sicherheitsspezifische Daten zu den Zielsystemen erhebt und dazu beispielsweise gezielt die Systeminternas der Absturzberichte von Softwarepaketen auswertet. Aus Referenzdatenbanken werden bekannte Schwachstellen der Zielsysteme abgerufen. Je nach Auftrag versucht „XKeyScore“, die Zielsysteme daraufhin automatisiert mit Schadsoftware zu infizieren (Lischka, Stöcker, 2013). „XKeyScore“ ist somit – neben einer ganzen Reihe anderer bekannt gewordener Systeme – nicht nur ein Spionage- sondern auch ein Angriffssystem für den „Alltagsgebrauch“ von Cyber-Spionage und Sabotage.

In komplizierten Fällen, wenn ein automatischer Angriff nicht möglich oder das Zielsystem gar nicht mit dem Internet verbunden ist, ist das 1998 gegründete »Office for Tailored Access Operations« (TAO) der NSA gefordert (Aid, 2009; Kingsbury, 2009). Dessen Aufgaben sind „neben der Aufklärung auch Attacken in Computernetzen als integrierter Teil militärischer Operationen“, so eine frühere Leiterin (Appelbaum et. al, 2014). Neben Schadsoftware – wie etwa Stuxnet – hat das TAO Techniken zur Infektion von Zielrechnern entwickelt mit Erfolgsquoten von bis zu 80 Prozent und verschafft sich durch Besuche vor Ort auch einen „physischen Zugang“ (Appelbaum et. al, 2014). Das TAO führte – einem Snowden-Dokument zufolge mit Daten aus der Zeit vor Mitte 2012 – zu dieser Zeit pro Woche über 2.800 „Computer Network Operations“ durch (4); seinen Aufgaben gemäß also gezielte Cyberangriffe auf komplexe Ziele. Die Hacker des TAO dürften also für gezielte Angriffe auf 150.000 Computersysteme pro Jahr verantwortlich sein, die für die Folgejahre angepeilte operative Zielmarke für Angriffe sind mehrere Millionen infizierte IT-Systeme (Gellman, Nakashima, 2013).

Cyber Warfare – ein Aktionsfeld mit vielen Akteuren

Mehrere Vorfälle zeigen, dass ähnlich spezifische Schadsoftware auch von anderen Ländern eingesetzt wird. Im Jahr 2007 wurden die digitalen Infrastrukturen Estlands durch Cyberattacken gestört, was letztlich dort die Einrichtung eines Cyber-Sicherheitszentrums der NATO zur Folge hatte (Tikk, 2008). 2008 begann der bewaffnete Konflikt zwischen Georgien und Russland mit gezielten Cyber-Manipulationen in Georgien durch Angreifer, die im Voraus über russische Militäraktionen informiert waren (Cyber Consequences Unit, 2009). Die im Frühjahr 2015 in ihren Aktionen analysierte „Great Cannon“ ist ein Angriffswerkzeug, das Datenverkehre in die VR China gezielt kapert, die Inhalte der übertragenen Daten verändert und zusätzlich die von außerhalb Chinas in die Volksrepublik hinein kommunizierenden IT-Systeme so manipuliert, dass diese in eine massive verteilte Denial-of-Service-Attacke (DDoS-Angriff) eingebunden werden (Marczak et. al., 2015). Die Eigenschaften dieses Systems und dessen Manipulationen werden als ähnlich dem Quantum-System der NSA bewertet und lassen auf staatliche Akteure als Urheber schließen.

Schließlich wurde 2010 mit Stuxnet ein Computerwurm zur Manipulation eines Anlagensteuerungssystem der Firma Siemens identifiziert. Die Analyse von „Stuxnet“ zeigte Aufwände weit außerhalb der Möglichkeiten gewöhnlicher Krimineller. Zwei Jahre nach der Entdeckung erklärten Vertreter_innen der US-Regierung, „Stuxnet“ sei zusammen mit Israel entwickelt worden, um die Urananreicherung in iranischen Anlagen zu sabotieren (Sanger, 2012: A1). Weitere Analysen haben seither gezeigt, dass „Stuxnet“ nur ein Teil einer ganzen Familie von Schadsoftware mit derselben Code-Basis ist, die vor allem in Nahen Osten Schäden in einer Höhe verursacht hat wie herkömmliche Cyber-Kriminelle (Kaspersky Lab, 2012). Auch der beim Angriff auf die BELGACOM sowie in Deutschland und Brasilien eingesetzte Trojaner REGIN stammt nach forensischen Analysen der Codebasis aus den Programmierwerkstätten der NSA (Rosenbach et. al., 2015).

Das Eindringen in die IT-Systeme von Sony und das Entwenden von Daten dort sowie die zeitweilige Übernahme der IT des französischen TV-Senders TV 5 Monde im Frühjahr 2015 unterstreichen, dass die Nutzung von Manipulations- und Sabotagewerkzeugen mittlerweile zum Alltag bei der Austragung von Konflikten nahezu jeder Art gehört. Diese Cyber-Kriegsführung, die Manipulation von Computern und Rechnernetzen, richtet sich zunächst gegen den Computereinsatz für militärische Zwecke auf militärischen Infrastrukturen. Durch die Vernetzung des offenen Internets mit militärischen Netzwerken bedeutet „Informationskriegsführung“ aber auch die potenzielle Bekämpfung aller, die im Internet Daten und Informationen sammeln und verarbeiten.

Kolla­te­ral­schäden

Es sind nicht nur gezielte Angriffe auf IT-Systeme ziviler Nutzer_innen, die die NSA und vergleichbare Dienste weltweit zu einer Gefahr machen. Noch größer ist die Gefahr durch ihre unermüdliche Arbeit zum Abbau der IT-Sicherheit.

Die Berichterstattung über den so genannten „Heartbleed-Bug“ machte auch Internet-fernen Zeitgenosse_innen die Bedeutung von Verschlüsselungsverfahren im Internet deutlich. Heartbleed bezeichnete einen am 31.12.2011 eingepflegten Programmierfehler in der Software der Secure Socket Layer (SSL)-Software, der es ermöglichte, den für so gut wie jede gesicherte Bestellung und Finanztransaktion im Internet genutzten Verschlüsselungsmechanismus auszuhebeln und Bankdaten und andere sensitive Informationen mitzulesen und zu verfälschen. Fast alle Anbieter von Internetzugängen rieten ihren Nutzer_innen dringend dazu, ihre Konten zu prüfen und neue Passwörter anzulegen. Die Öffentlichkeit lernte dabei als wichtiges Prinzip des Internets, dass die gesamte Sicherheitsinfrastruktur bei e-Commerce, Telebanking und anderen sensitiven Abläufen von einer Open Source-Software abhängt, für deren Erstellung ein_e einzige_r Programmierer_in fest angestellt ist und für die keine Alternativen verfügbar sind. Für Cyber-Angreifer_innen ist dieses Nadelöhr ein wichtiges Ziel. NSA-Dokumente über einen Anfang August 2007 gehaltenen Vortrag enthalten bereits Hinweise auf die Nutzung von Schwachstellen in der SSL-Verschlüsselung durch die NSA.(5)

Auch die Verschlüsselung von „Virtuellen Privaten Netzwerken“ (VPN) ist von höchstem Interesse für die NSA. VPN werden von Unternehmen und Behörden, aber auch Privaten genutzt, um die Internetkommunikation zwischen verschiedenen Organisationsteilen rund um den Globus zu verschlüsseln und gegen Mitlesen und Manipulationen zu sichern. VPN-Netze werden nicht nur durch die Nutzung von Schwachstellen in den Produkten ausgehebelt, sondern durch den gezielten Einbau von Hintertüren, die einige Hersteller auf Veranlassung der NSA in ihre Produkte integrieren.(6) Mehrere der publizierten NSA-Dokumente enthalten Anleitungen, mit welchen Werkzeugen VPN-Datenverkehr automatisiert entschlüsselt und ausgewertet werden kann.

Das Brechen von Verschlüsselungsverfahren gehört zu den wichtigsten Fähigkeiten der NSA, ihrer Partnerdienste ebenso wie aller anderen Kommunikationsnachrichtendienste. Die NSA hat für die Steuerung des FLAME-Trojaners das auf Verschlüsselungssystemen beruhende System der Softwarezertifikate von Microsofts Software-Updates ausgehebelt (Microsoft Security Research & Defense, 2012). Die NSA rühmt sich, führend in der Entschlüsselung der gängigen Verfahren zu sein und war vor zwei Jahren dabei, die Entschlüsselung in Echtzeit anwenden zu können.(7)

Die Entschlüsselung zu brechen, ist aber nicht nur wichtig für die Spionage. Auch hier liefert der BELGACOM-Angriff Belege für die Nutzung von Fähigkeiten zur Entschlüsselung in Echtzeit, um Schadcode in entschlüsselte Kommunikationsdaten einzufügen und weiterzuleiten. IT-Sicherheitsverantwortliche, die erwarten, dass ihre verschlüsselte Kommunikation nicht als Ursache infrage kommt, wenn Schadsoftware ins Unternehmen gelangt, müssen ihre gesamte Sicherheitsphilosophie und alle Verfahren auf den Prüfstand stellen, was den Aufwand vervielfacht und obendrein voraussetzt, die geheim gehaltenen Zugänge der Geheimdienste zu erraten.

Der Heartbleed-Bug zeigte der Allgemeinheit der Internetnutzer die Verwundbarkeit grundlegender Sicherheitsverfahren wie SSL. Doch schon Jahre vor der Programmierung dieser Lücke erklärte die NSA, in der Lage zu sein, dieses Verfahren auszuhebeln. Firmeninterna, die über das Internet per VPN gesichert übermittelt werden, sind ebenfalls seit Jahren mitlesbar und kompromittiert. Welche weiteren Sicherheitsmechanismen die NSA und andere Dienste ausgehebelt und kompromittiert haben, wird von IT-Sicherheitsexperten diskutiert (Weber, 2015). Entscheidend ist dabei, dass es keine Aufarbeitung der Sicherheitssysteme gibt, die nach heutigem Wissen als wirkungslos, zweifelhaft sicher oder wahrscheinlich sicher eingestuft werden müssen. Dementsprechend gibt es immer noch keine zuverlässigen Aussagen, welche Anwendungen im Internet noch sicher sind, oder ob die NSA und andere Dienste solche Datenkommunikation mitlesen und manipulieren können.

Die Erkenntnis aus der Analyse der NSA-Dokumente kann daher heute nur lauten, dass die Überwachung des Internets für die NSA genauso wie für deren gegnerische Dienste nur der Ausgangspunkt für die Manipulation von IT-Systemen ist. Spätestens seit Stuxnet hat Cyber Warfare die Schwelle zur Verursachung physischer Schäden überschritten.

Von der NSA wissen wir darüber hinaus, dass sie und ihre Partnerdienste ihrem eigenen Verständnis nach einen uneingeschränkten und unterschiedslosen Cyberkrieg gegen vermutete Gegner_innen, ebenso wie gegen die eigenen Verbündeten führen. Für diese Manipulationen und Angriffe auf IT-Infrastrukturen wurden spezielle Werkzeuge entwickelt und grundlegende IT-Sicherheitsmechanismen wie Software-Zertifikate, Verschlüsselungs- und Authentisierungsmechanismen kompromittiert. Technische Alternativen existieren nicht. Ohne diese durch die NSA, ihre Verbündeten und Gegner_innen ausgehebelten Mechanismen für Sicherheit und Zuverlässigkeit der IT werden der zivilen Informationsgesellschaft massive Risiken aufgebürdet.

Ressourcen im Ungleich­ge­wicht

Wenn heute über NSA und Computerspionage berichtet wird, wird dabei meist vergessen, wie alt diese Form der Informationsbeschaffung ist. Bereits 1986 wurde durch Anhörungen vor dem U.S. Senat bekannt, dass Militärs und Geheimdienste der USA und der Sowjetunion Diebstähle von Datenträgern und Einbrüche in Computerinstallationen vor Ort dazu nutzten, Daten aus gegnerischen Computersystemen zu beschaffen und diese Systeme auch zu sabotieren (U.S. Senate Select Committee on Intelligence, 1986; Peterzell, 1989).

Das Internet hat diese Art der Spionage beträchtlich vereinfacht (Ruhmann, Bernhardt, 2014). Seit Ende der 1990er Jahre wurde die Zahl der Hacker_innen im Staatsdienst kontinuierlich vergrößert. Heute haben über 100 Staaten Warfare-Kapazitäten aufgebaut, die immer zuerst defensiv ausgerichtet sind und über die Zeit auch offensive Aspekte umfassen. Das UN-Institut für Abrüstungsforschung – United Nations Institute for Disarmament Research (UNIDIR) – hatte bereits 2013 in Medienverlautbarungen 41 Staaten ausgemacht, die militärische Cyberaktivitäten verfolgen (The Cyber Index, 2013: 3). Auch die Bundeswehr führte 2002 ganz nach dem Vorbild der NSA alle Einheiten zur elektronischen und psychologischen Kriegsführung im Kommando Strategische Aufklärung (KSA) zusammen. Seit 2006 gehört zum KSA auch eine ursprünglich mit 76 Mitarbeiter_innen begonnenen Hacker_innengruppe für „Computer Netzwerk Operationen“.(8)

Heute verfügt das KSA auf der „Angreiferseite“ im Information Warfare insgesamt über 5.500 Soldat_innen und 500 zivile Mitarbeiter_innen.(9) Vergleicht man dies in Deutschland mit der zivilen Strafverfolgung sowie dem Austausch zwischen Nachrichtendiensten und Strafverfolgern über Computerdelikte, dabei vor allem die Beobachtung des Internet für terroristische Aktivitäten, so lassen sich bundesweit – nach Abzug der Mitarbeiter_innen mit Doppelaufgaben – zwischen 900 und 1.000 Ermittler_innen und IT-Fachleute aufseiten der zivilen Ermittlungsarbeit zählen(10). Auf finanzieller Seite wendet die Bundesregierung 30 Mio. Euro pro Jahr für die zivile IT-Sicherheitsforschung auf, der BND beantragte Ende 2014 300 Mio. Euro für den Ankauf von IT-Sicherheitslücken zur Nutzung für Cyberattacken und die Aufstockung von Personal für offensive Cyberaktionen.

Auch für die USA sind solche Vergleichsdaten ermittelbar. Zur Umsetzung der im Juli 2011 veröffentlichten ersten U.S. Strategie für Operationen im Cyberspace (U.S. Department of Defense, 2011) plante der Kommandeur des U.S. Cyber Commands – seit 2008 in Personalunion Leiter der NSA -, die Zahl seiner für Cyber-Operationen vorgesehenen Truppen ab 2013 zu verfünffachen – von 900 auf 4.900 Soldat_innen und Zivilist_innen (Nakashima, 2013). Dies wird fortgesetzt mit der im April 2015 vorgestellten neuen Cyber-Strategie des U.S. Department of Defense (DoD), die den zusätzlichen Aufbau einer „Cyber Mission Force“ aus weiteren 6.200 Militärs, Zivilist_innen und kommerziellen Auftragnehmern vorsieht (U.S. Department of Defense, 2015), die die Hacker_innen der ebenfalls dem Cyber Command untergeordneten NSA unterstützen sollen.

Die NSA hatte für 2013 einen Etatansatz für Cyberangriffe und Entschlüsselung von über 12 Mrd. Dollar zur Verfügung, davon 625 Mio. US-Dollar für die Entwicklung von Schadsoftware zur Verfügung, und 10 Mrd. Dollar für das „gemeinsame kryptologische Programm“ für „bahnbrechende kryptoanalytische Fähigkeiten […], um den Internetverkehr auszuwerten“ (Gellman, Miller, 2013).(11) Im Vergleich dazu erklärte das für die Bekämpfung von schwerwiegenden Computerdelikten in den USA zuständige FBI, durch 152 Neueinstellungen bis Ende 2015 landesweit die Zahl von 750 Agenten für die Aufklärung von Computerdelikten verfügbar haben zu wollen (Mandak, 2014). Der gesamten, dem U.S.-Justizministerium zugeordneten Strafverfolgung von Computerdelikten stand 2014 ein Budget von 722 Mio. Dollar zur Verfügung (Moore, 2014), was auch die Mittel für den Schutz der eigenen IT-Systeme einschließt. Allein dem TAO der NSA steht somit mehr Personal für Hackerangriffe zur Verfügung als der Strafverfolgung durch das FBI und fast ebenso viele Finanzmittel für die Schadsoftware-Entwicklung wie für die gesamte zivile Strafverfolgung von Cyberattacken durch das FBI.

Die Gegenüberstellung der verfügbaren Daten über finanzielle und personelle Ressourcen in den USA und Deutschland macht trotz der lückenhaften Datenlage deutlich, dass der „Angreiferseite“ in der Regel die sechs- bis zehnfachen Ressourcen für Cyberattacken und die Kompromittierung der IT-Sicherheit zur Verfügung stehen im Vergleich zur „Verteidigerseite“ der IT-Sicherheit. Die Daten dokumentieren ein unerwartet klares Ungleichgewicht und eine Prioritätensetzung der Regierungen in den USA, in Deutschland, aber den Indizien nach auch in anderen Staaten zugunsten der Cyber-Angreifer_innen und die im Vergleich geringe Bedeutung, die von staatlicher Seite auf die Stärkung der IT-Sicherheit, die zivile Strafverfolgung und die Analyse von IT-Sicherheitsvorfällen gelegt wird.

Militär und Geheimdienste als Cyber-Angreifer können nahezu jeden Aufwand treiben, weil sie Cyberattacken als günstige Alternative zu konventionellen Militärschlägen sehen. IT-Sicherheitsverantwortliche und die Zivilbevölkerung sollten möglichst schnell mit der Einsicht umgehen lernen, dass IT-Sicherheit so weder für zivile noch militärische Systeme zu leisten ist.

Der Vergleich der Ressourcen für Militärs und Geheimdienste für Cyberangriffe macht deutlich, dass nur ein radikales Umsteuern helfen kann, die umfassende Kompromittierung aller Facetten unserer IT-Infrastruktur zu beenden und durch neue, sichere Systeme zu ersetzen. Investiert werden muss in die Sicherung von IT, nicht in neue Angriffsstrategien und –werkzeuge.

Parlament und Exekutive sind an die Beachtung der Grundrechte gebunden. Bei Cyber Warfare geht es in Deutschland neben dem Fernmeldegeheimnis und dem Grundrecht auf informelle Selbstbestimmung ganz wesentlich um den Schutz des 2007 vom Bundesverfassungsgericht formulierten Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Der eigentliche Skandal an den Enthüllungen um die NSA-Dokumente ist heute die Erkenntnis, dass das Telekommunikationsgeheimnis faktisch abgeschafft ist, der Datenschutz aufgegeben wurde, die Integrität von IT-Systemen fundamental kompromittiert ist – und diesem Rechtsbruch bisher kaum Einhalt geboten wird.

UTE BERNHARDT   ist Informatikerin und beschäftigt sich seit Jahren mit „Informatik und Gesellschaft“ sowie der folgenreichen Beziehung von Informatik und Militär. Sie war Lehrbeauftragte der Fachhochschule Bonn-Rhein-Sieg und der FernUni Hagen. Zudem ist sie Mitglied des FIfF und war FIfF-Vorstandsmitglied von 1991 bis 1998. Sie arbeitet als wissenschaftliche Mitarbeiterin.

INGO RUHMANN   ist Informatiker und arbeitet im Bereich Technikfolgenabschätzung, Forschungspolitik, IT-Sicherheit, Information Warfare, „Cyberwar“, Geschichte der Geheimdienste und Datenschutz. Er ist Lehrbeauftragter im Studiengang „Security Management“ der Fachhochschule Brandenburg. Zudem ist er Mitglied des FifF, in dessen Vorstand er von 1991 bis 1998 aktiv war.

Anmerkungen:

(1)  Denial of Service (DoS) sind gezielte Anfragen an sog. Dienstprogramme, die auf einem Webserver laufen. Werden solche Anfragen als massenhafte DDoS-Attacke von vielen Rechnern aus gleichzeitig durchgeführt, können damit angegriffene Server oder Webdienste außer Betrieb gesetzt und deren Anbieter u.U. beträchtlich geschädigt werden.

(2)  Turmoil und Turbulence werden in den NSA-Dokumenten zu XKeyScore zu einem Vergleich heran gezogen, so S. 8 der vom Guardian dokumentiertem XKeySore-Präsentation der NSA, http://www.documentcloud.org/documents/743252-nsa-pdfs-redacted-ed.html .

(3)  So die von The Guardian dokumentierte NSA-Präsentation »XKeySore« vom 25.2.2008, http://www.documentcloud.org/documents/743252-nsa-pdfs-redacted-ed.html.

(4)  Die Daten beruhen auf dem Dokument http://www.spiegel.de/media/media-35657.pdf , Folie 21.

(5)  Dies bezieht sich auf S. 7ff in dem NSA-Dokument http://www.spiegel.de/media/media-35520.pdf.

(6)  Die Ursachen bleiben im Detail unklar; eindeutig werden aber sowohl fehlerhaft implementierte als auch gezielt eingebaute Lücken genutzt, da in NSA-Dokumenten neben Systemen aus US-Herstellung wie Cisco auch Produkte aus der VR China wie etwa Huawei genannt werden, vgl. das NSA-Dokument http://www.spiegel.de/media/media-35551.pdf.

(7)  Vgl. dazu die Präsentation zum Programm Bullrun, http://www.spiegel.de/media/media-35532.pdf.

(8)  Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Jan van Aken, Andrej Hunko, Christine Buchholz, weiterer Abgeordneter und der Fraktion DIE LINKE. Elektronische Kampfführung der Bundeswehr, BT-Drs. 18/3963.

(9)  Das KSA verfügte zu Beginn über 6.300 Soldaten und 700 zivile Mitarbeiter (http://www.bundeswehr.de/portal/a/bwde/!ut/p/c4/04_SB8K8xLLM9MSSzPy8xBz9CP3I5EyrpHK9pPKUVL3ikqLUzJLsosTUtBI0XlJicWaxfjjIAKDC5Py81BIQWZKaV5IJJNOLEkvyi_QK8otKckAypUVFQBm9zBT9SANDFydDcwMYMKwxM_EINXI1sbDw9fUM1i_IzXUEAHwkjuE!/) Nach Umstrukturierungen 2007 und 2013 belief sich die Personalstärke noch auf insgesamt 6.000. Zu den Aufgaben siehe: http://www.spiegel.de/politik/deutschland/strategische-aufklaerung-bundeswehr-belauscht-die-welt-a-575417.html .

(10) Die Daten sind ermittelt aus: Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Petra Pau, Jan Korte, Dr. Petra Sitte, weiterer Abgeordneter und der Fraktion DIE LINKE. Die Strategie der Bundesregierung zur Bekämpfung der Internetkriminalität – Das Nationale Cyber-Abwehrzentrum. BT-Drs. 17/5694 Frage 4.  Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Wolfgang Wieland, Volker Beck (Köln), Jerzy Montag, weiterer Abgeordneter und der Fraktion BÜNDNIS 90/DIE GRÜNEN. Das Gemeinsame Terrorismusabwehrzentrum – Sachstand 2008. BT-Drs. 16/10007, Frage Nr. 1. Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Petra Pau u. a. und der Fraktion DIE LINKE. Die Strategie der Bundesregierung zur Bekämpfung der Internet-Kriminalität; Gemeinsames Internetzentrum, BT-Drs. 17/5557, Frage Nr. 1.

(11) Im Detail: FY 2013 Congressional Budget Justification, National Intelligence Program Summary; http://s3.documentcloud.org/documents/781537/cbjb-fy13-v1-extract.pdf.

Der Beitrag Bedrohung durch Cyberangriffe in der Praxis (vollständig) erschien zuerst auf Humanistische Union.

(Red.) Das sogenannte Talinn-Manual soll Rechtsfragen beim Cyber warfare der NATO klären helfen. Dafür wurde eine Kommission aus unabhängigen Experten und Expertinnen berufen, die die Ausübung von Gewalt im völkerrechtlichen Rahmen analysiert und Regeln für den staatlichen Cyberkrieg vorschlägt.

„Cyber warfare“ ist eine neue Form von zwischenstaatlicher Schadensstiftung, die eine neue Form von Schaden verursacht. Die Schädigung erfolgt über eine elektronische Kommunikation, die schadensstiftende Informationsgehalte (Viren, Würmer, Trojaner) übermittelt. Der dadurch unmittelbar verursachte Schaden ist die Beeinträchtigung der Funktionsfähigkeit von Computer-Systemen. Diese Computer-Systeme sind aber wesentliche Elemente des Funktionierens lebenswichtiger Dienstleistungen (Energie, Transport, Finanzdienstleistungen) und militärischer Fähigkeiten (Aufklärung, Übermittlung von Informationen an Entscheidungsträger). Deshalb stellt sich die Frage, ob die traditionellen Regeln des Völkerrechts, die grenzüberschreitende Schädigungshandlungen verbieten, auf diese neue Form von Schädigung und Schaden anwendbar sind. „Warfare“ heißt Ausübung militärischer Gewalt. Sind die bestehenden Regeln über die Ausübung militärischer Gewalt auf solche Schädigungen anzuwenden?

Dieser Frage hat sich eine NATO-Einrichtung mit dem wohlklingenden Namen „Cooperative Cyber Defence Center of Excellence“ in Talinn durch Einberufung einer Expertenkommission angenommen, die vor kurzem ihre Ergebnisse in Form eines „Manual“, d.h. von Richtlinien mit Kommentaren, in einem international angesehenen wissenschaftlichen Verlag veröffentlicht hat.(1) Die Regeln sind einfach und allgemein formuliert, die Streitpunkte stecken in den Kommentaren. Das Manual ist keine offizielle NATO-Doktrin, so ausdrücklich die Einleitung. Aber die Arbeit dürfte nicht allzu fern von dem sein, was in den militärischen und politischen Kreisen der NATO über Rechtsfragen des Computerkriegs gedacht wird. Solche Experten- und Expertinnenarbeiten haben ihre eigene Wirksamkeit. Sie pflegen, wenn sie überzeugend sind, die Überlegungen von Entscheidungsträgern und Entscheidungsträgerinnen und Richtern und Richterinnen (wenn es je zu Kriegsverbrechens-Prozessen wegen Computer-Angriffen kommen sollte) zu prägen. Irgendwoher müssen die Entscheidungsträger und Entscheidungsträgerinnen ihre Maßstäbe nehmen. Sie greifen gern auf die Arbeit von Experten und Expertinnen zurück. Deren Akzeptanz wird nur erhöht, wenn Uneinigkeit der Experten und Expertinnen in Einzelfragen nicht verschwiegen wird. Dieser Mechanismus war der NATO-Institution, die das Gremium einberufen hat, wohl bewusst. Darum lohnt eine inhaltliche Analyse dieser Arbeit nicht nur wissenschaftlich, sondern auch militärisch und politisch.

Völkerrechtliche Regeln über die Ausübung militärischer Gewalt gibt es auf zwei Ebenen. Auf der ersten Ebene ist geregelt, ob überhaupt militärische Gewalt ausgeübt werden darf, in traditioneller Terminologie das ius ad bellum, besser ius contra bellum, da es bei diesen Regeln gerade um das Verbot militärischer Gewalt geht. Auf der zweiten Ebene wird geregelt, wie denn Gewalt ausgeübt werden darf, wenn sie trotz des Verbots (rechtmäßig oder rechtswidrig) ausgeübt wird (ius in bello). Wegen der Schwäche der Durchsetzung der Regeln der ersten Ebene ist diese zweite Ebene notwendig, um Schlimmeres zu verhindern. Das Manual befasst sich mit beiden Ebenen.

Grundregel des ius contra bellum ist das Verbot zwischenstaatlicher Gewaltausübung. Die wesentliche Ausnahme vom Gewaltverbot ist das Recht der Selbstverteidigung gegen einen bewaffneten Angriff. Es stellt sich also die Frage, ob und unter welchen Umständen die umrissene elektronische Schadensstiftung „Gewalt“ im Sinne des Gewaltverbots darstellt. Die NATO-Experten sehen das Kriterium, das diese Frage beantworten soll, in der Gleichwertigkeit der Wirkung der Schadensstiftung („scale and effects comparable to non-cyber operations rising to the level of a use of force“). Eine Maßnahme des Cyber warfare ist Ausübung von militärischer Gewalt, wenn ihre unmittelbare oder auch mittelbare Wirkung der Schadensstiftung durch militärische Maßnahmen gleichkommt. Das ist jedenfalls bei erheblicher physischer Zerstörung der Fall, etwa bei Öffnen der Schleusen eines Staudamms durch einen Computer-Angriff auf sein elektronisches Steuerungssystem. Bei dem bekannten Angriff auf iranische Atomanlagen durch „Stuxnet“ wurden durch eine Manipulation des Steuerungssystems die Zentrifugen physisch beschädigt.

Mit dieser Theorie der gleichwertigen Wirkung wird die gesamte gegenwärtige Debatte um zulässige Angriffshandlungen in die Frage des Cyber warfare hineingetragen. Dies prägt das Manual. Es nimmt deswegen auch zu allgemeinen Streitfragen zulässiger Gewaltausübung Stellung (u.a. Selbstverteidigung und Beteiligung an Kampfhandlungen). So gerät das Manual über das Thema des Cyber warfare hinaus zu einer Art Lehrbuch darüber, wie das heutige Völkerrecht militärische Gewalt regelt, jedenfalls nach Auffassung NATO-naher Experten und Expertinnen. Das sei an wenigen Beispielen gezeigt.

Der „bewaffnete Angriff“ ist eine intensive Form der Gewaltausübung, die das Selbstverteidigungsrecht auslöst. Darum ist die Definition des bewaffneten Angriffs entscheidend für die Definition von Selbstverteidigung. Mit dieser Definition wird Politik gemacht. Es geht um die Überzeugungskraft von Rechtfertigungsstrategien für den Einsatz militärischer Gewalt. Da die gebräuchlichste Rechtfertigung für den Einsatz militärischer Gewalt die Selbstverteidigung ist, vertreten Staaten, die aktive Optionen des Einsatzes militärischer Gewalt verfolgen und diese Optionen rechtlich rechtfertigen wollen, eine weite Definition des bewaffneten Angriffs. Denn diese hat eine weiter reichende Rechtfertigung von angestrebten militärischen Optionen zur Folge. Das Manual verfolgt die amerikanische Linie einer weiten Definition von als Selbstverteidigung zulässiger Gewalt (wobei abweichende Meinungen, in dem Expertengremium eine Minderheit, nicht verschwiegen werden).

Herkömmlich wird als bewaffneter Angriff nur solche Gewalt angesehen, die von einem Staat gegenüber einem anderen Staat ausgeübt wird. Um den Tatbestand der Verletzung des Gewaltverbots oder des bewaffneten Angriffs zu erfüllen, muss eine Maßnahme einem Staat zurechenbar sein. Das wird seit 9/11 bestritten. Konnte denn dieser Angriff Afghanistan zugerechnet werden? Die Mehrheit der NATO-Experten und -Expertinnen ist der Auffassung, dass ein bewaffneter Angriff im Rechtssinn auch von einem nicht-staatlichen Akteur wie Al Qaeda ausgehen kann und dass Selbstverteidigung dann auch auf dem Gebiet eines Staates ausgeübt werden kann, dem der Angriff gar nicht zuzurechnen ist, jedenfalls wenn dieser nicht willens oder in der Lage ist, seinerseits gegen den von seinem Gebiet aus operierenden nicht-staatlichen Akteur vorzugehen. Der Kommentar verschweigt wenigstens nicht, dass der Internationale Gerichtshof das ganz anders sieht. Auch die Mehrheit der Völkerrechtler und Völkerrechtlerinnen der Welt teilt nicht unbedingt die Meinung der Mehrheit der NATO-Experten und -Expertinnen.

Mit der Zurechenbarkeit ist man bei der zentralen Schwierigkeit der rechtlichen Regelung des Cyber warfare. Die Rückverfolgung einer solchen Maßnahme zu ihrem eigentlichen Urheber ist häufig nicht möglich. Die Urheber des Stuxnet-Angriffs auf die iranischen Atomanlagen wurden nie einwandfrei identifiziert. Die Tatsache, dass eine Schädigung von einem bestimmten Server aus erfolgte, reicht nicht aus, um diese Schädigung dem Staat zuzurechnen, auf dessen Territorium der Server steht. Das sagt das Manual ausdrücklich (Regeln 7 und 8). Häufig ist nicht festzustellen, ob eine zweifellos vorhandene massive Schädigung als bewaffneter Angriff von einem bestimmten Akteur oder gar einem bestimmten Staat ausgeht. Nur wenn eine Zurechenbarkeit mit hinreichender Sicherheit feststeht, ist Selbstverteidigung gegen diesen Staat zulässig. Selbstverteidigung auf Verdacht ist es nicht, wie der Internationale Gerichtshof in einem anderen Fall gewaltsamer Reaktion auf Schädigungshandlungen unklaren Ursprungs entschieden hat. Selbstverteidigung wird also in vielen Fällen von Cyber warfare rechtlich nicht zulässig und übrigens auch militärisch oder politisch nicht sinnvoll sein – eine Schlussfolgerung, die das Manual nicht zieht.

Zum ius in bello: Seine Grundregel ist das Prinzip der Unterscheidung. Im bewaffneten Konflikt zulässig sind Schädigungshandlungen („Angriffe“) durch Angehörige des Militärs (Kombattanten) gegen die militärischen Anstrengungen des Gegners, d.h. gegen seine Streitkräfte und gegen sog. militärische Ziele. Das sind Objekte, die wirksam zur militärischen Anstrengung des Gegners beitragen und deren Zerstörung bzw. Eroberung oder Neutralisierung darum einen militärischen Vorteil mit sich bringt. Zivilisten und zivile Objekte dürfen nicht angegriffen werden. Im Rahmen des Cyber warfare stellt sich darum die Frage, welche Art von Schädigungshandlungen, die die Funktionsfähigkeit von Computer-Systemen beeinträchtigen, in diesem Sinne überhaupt Angriffe darstellen. Auch für diese Frage ist die Gleichwertigkeit der Wirkung mit der herkömmlicher Angriffe ausschlaggebend. Angriffe in diesem Sinne sind darum Handlungen, so das Manual (Regel 30), von denen vernünftiger Weise angenommen werden kann, dass sie Verletzung oder Tod von Personen oder Schaden an Sachgütern verursachen werden.

Computer-Systeme, die allein militärischen Zwecken dienen, sind militärische Ziele. Denkbar sind aber auch Angriffe auf Objekte, die zivilen Zwecken dienen, z.B. Steuerungssysteme der Energieversorgung, Einrichtungen der Telekommunikation. Wenn solche Einrichtungen zugleich auch militärischen Zwecken dienen (sog. „dual use“-Objekte), sind sie militärische Ziele. Vor einem Angriff müssen „praktisch mögliche“ Maßnahmen ergriffen werden, um festzustellen, ob das der Fall ist. Wie im Falle von Computer-Systemen die bei dieser Prüfung anzuwendende Sorgfalt zu bestimmen ist, ist eine schwierige Frage. Das Manual spricht von „ständiger Sorgfalt“ (constant care, Regel 52), ohne zu bestimmen, was das bedeutet. Hier sind wir erneut beim Problem der Internet-typischen Unsicherheiten.

Nur Kombattanten und Kombattantinnen (d.h. zur Teilnahme an Kampfhandlungen berechtigte Angehörige der Streitkräfte) und Zivilisten und Zivilistinnen, die unmittelbar an den Kampfhandlungen teilnehmen, dürfen gezielt angegriffen werden, letztere auch nur für die Zeit einer solchen Teilnahme (Regel 35). Im Bereich des Cyber warfare tummeln sich Privatpersonen, die in der Tat nicht den Streitkräften angehören, Hacker und Hackerinnen (Hacktivists), Programmierer und Programmiererinnen von Schadprogrammen u.v.m. Das Manual vertritt insofern eine weite Definition der unmittelbaren Teilnahme, die den Kreis der anzugreifenden Personen weit zieht. Teilnahme ist nicht nur der Angriff im Sinne der genannten Definition, sondern alles, was Streitkräften im Kampf schadet (also etwa Störung von militärischer Kommunikation). Unsicher sind die Experten und Expertinnen bei der Frage, wie nahe eine Unterstützungshandlung (etwa das Schreiben von Programmen zur Durchführung von Computer-Angriffen) an einer den Feind schädigenden Handlung sein muss, um als unmittelbare Teilnahme zu gelten, die den Programmierer zum rechtmäßigen Ziel von Angriffen macht. Ein Teil der Experten und Expertinnen scheint da recht geringe Anforderungen an diese Nähe zu stellen: die Hacktivists leben nach dem Manual ziemlich gefährlich.

Das Manual vertritt einerseits in seinen Stellungnahmen zu aktuellen Streitfragen der rechtlichen Schranken militärischer Gewalt konsequent eine Tendenz, die der Politik großer Militärmächte freundlich ist. Andrerseits verfolgt es einen an sich billigenswerten Ansatz: Es verwirft nicht etwa die bestehenden Rechtsregeln als obsolet oder irrelevant. Es versucht vielmehr, diese Regeln konsequent auf das neue Phänomen des Cyber warfare anzuwenden, indem es auf die gleichwertige Wirkung der Schädigungshandlung abstellt. Verboten sind solche Angriffe, die einen physischen Schaden verursachen, der dem gleicht, der durch herkömmliche militärische Operationen verursacht wird und der nach den für diese geltenden Regeln rechtswidrig ist. Das ist letztlich die traditionelle juristische Methode, neue Entwicklungen rechtlich einzugrenzen. Die Methode hat freilich ihre Grenzen. Es gibt neue Entwicklungen, für die die alten Regeln wirklich nicht ausreichen. Beim Computer-Krieg ist dies die Schwierigkeit, den wahren Urheber einer schadensstiftenden Handlung festzustellen und so die Handlung einem verantwortlichen Rechtssubjekt zuzuordnen. Aber eben darauf beruht die Wirkung von Rechtsregeln im Allgemeinen und von Völkerrecht im Besonderen.

Die Autoren des Manual haben das Problem gesehen, aber nicht wirklich lösen können oder wollen. Die Frage bleibt eine Herausforderung für die Rechtsentwicklung. Da gilt es staatliche Kontrollpflichten zu bedenken und zu schaffen, die verhindern, dass unverantwortliche Akteure auf Kriegsschauplätzen mitmischen. Eine wesentliche staatliche Verantwortung geht auch dahin, die Verwundbarkeit lebenswichtiger Steuerungssysteme zu verringern. Das ist eine Herausforderung für die Entwicklung von Technologie, aber auch für eine wie auch immer zu denkende Entwicklung des Rechts. Das Manual kann nicht das letzte Wort in Fragen des Cyber warfare sein.

MICHAEL BOTHE   ist Rechtswissenschaftler und als solcher Professor emeritus an der J.W. Goethe Universität Frankfurt/Main. Schwerpunkt seiner Tätigkeit ist der Bereich Völkerrecht, insbesondere mit den Themen Friedenssicherungsrecht, Rüstungskontrolle, humanitäres Völkerrecht, internationales Umweltrecht und vergleichendes Staats- und Verfassungsrecht. Bothe leitet seit 1995 den „Fachausschuss Humanitäres Völkerrecht“ des Deutschen Roten Kreuzes (DRK) und war von 2001 bis 2005 Vorsitzender der Deutschen Gesellschaft für Völkerrecht. Er gehörte außerdem von 2001 bis 2011 der Internationalen humanitären Ermittlungskommission an und war ab 2007 deren Präsident.

Anmerkungen:

(1) Talinn Manual on the International Law Applicable to Cyber warfare. Prepared by the International Group of Experts at the Invitation of the NATO Cooperative Cyber Defence Center of Excellence. General editor: Michael N. Schmitt. Cambridge University Press 2013, XIX, 282 S., £ 35,00.

Der Beitrag Der Computer-Krieg und die NATO (vollständig) erschien zuerst auf Humanistische Union.

(Red.) Die EU-Polizeiagentur Europol fordert die Einrichtung eines europäischen „Anti-Terror-Zentrums“ und die Überlassung geheimdienstlicher Informationen. Im Juli geht eine Meldestelle für unliebsame Internetinhalte an den Start. Zur Erforschung und Beschaffung neuer Analysewerkzeuge steuert hier auch das Bundeskriminalamt (BKA) seine Erfahrungen bei und nimmt gleichzeitig eine prominente Rolle in der Verteilung der dabei zu vergebenen Leitungsfunktionen ein.

Die Einrichtung von Europol wurde 1992 im Vertrag von Maastricht als „Europäisches Polizeiamt“ mit Sitz in Den Haag festgeschrieben. Vorausgegangen war ein Vorschlag Deutschlands im Europäischen Rat aus dem Jahr 1991, eine „Europäische Kriminalpolizeiliche Zentralstelle“ zu errichten, um die grenzüberschreitende Kooperation zu vereinfachen. Bis zur Ausgestaltung und Annahme eines Europol-Übereinkommens widmete sich Europol ab 1994 in der European Drug Unit (EDU) der Rauschgiftkriminalität und Geldwäsche. In ihrer Geschichtsschreibung sieht Europol 1999 als das Jahr, in dem die Behörde in ihrer heutigen Form entstand. Das Aufgabengebiet wandelte sich hin zu neuen Formen grenzüberschreitender Straftaten, darunter die Fälschung der neuen Euro-Währung und von Kreditkarten, Geldwäsche, Wirtschaftskriminalität und Korruption, Umweltkriminalität, Schutzgelderpressung, KFZ-Kriminalität oder Produktpiraterie, aber auch Kriminalitätsforschung und grenzüberschreitende Aus- und Fortbildung.

Vor fünf Jahren mauserte sich die „Polizeibehörde“ Europol schließlich zur „Polizeiagentur“ und wird seitdem wie die anderen EU-Agenturen durch den Gesamthaushalt der Europäischen Union finanziert. Das Europol-Übereinkommen wurde durch einen Ratsbeschluss ersetzt. 2011 bezog Europol ein neues Hauptquartier im Stadtteil Statenkwartier in Den Haag. Vor zwei Jahren hatte Europol seine „Arbeits- und Analysedateien” zu bestimmten Kriminalitätsbereichen komplett neu organisiert. Nun heißen sie „Focal Points“ und unterteilen sich in die Bereiche „organisierte Kriminalität“ und „Terrorismus“. Mitgliedstaaten können einem „Focal Point“ nach Belieben beitreten.

Anzahl gespei­cherter Datensätze erhöht sich stetig

Europol hat Arbeits- oder Kooperationsabkommen mit zehn EU-Einrichtungen (darunter Eurojust und Frontex), 18 Drittstaaten und drei internationalen Einrichtungen (Interpol, UNODC, WCO) abgeschlossen. Zur besseren Zusammenarbeit mit US-Behörden unterhält Europol ein Büro in Washington. Seit vorletztem Jahr betreibt Europol das „Europol Cybercrime Center“ (EC3). Im Jahr 2013 arbeiteten 850 Personen bei Europol, darunter 160 sogenannte „Verbindungsbeamte“. Sie sind für den Kontakt zu den Behörden der EU-Mitgliedstaaten verantwortlich.

Laut dem Jahresbericht der EU-Polizeiagentur Europol für 2013 hat sich der Anzahl gespeicherter Datensätze deutlich erhöht: So seien die im Europol Informationssystem abgelegten Objekte damals um 31% auf rund 245.000 angewachsen. Noch drastischer fiel die Zunahme gespeicherter Personen aus. Diese sei um 47% auf rund 71.000 Verdächtige oder verurteilte Straftäter_innen gestiegen. Monatlich seien rund 38.000 Nachrichten getauscht worden, der Jahresbericht spricht von 18.300 grenzüberschreitenden Maßnahmen. In 90 Fällen habe die Agentur dabei ihr „mobiles Büro“ zur Verfügung gestellt: So kann bei Hausdurchsuchungen oder anderen Zwangsmaßnahmen jederzeit auf die Informationssysteme von Europol zugegriffen werden.

Neue Werkzeuge zum Data Mining

In seinem Arbeitsprogramm für 2015 kündigt die Polizeiagentur Europol die Einführung eines ganzen Arsenals neuer Analysesoftware an. Die Rede ist von „fortgeschrittenen Werkzeugen für Datenverarbeitung, aufklärungsbasierte Analyse, darunter auch strategische Analyse und Analyse offener Quellen“. Schon vor zwei Jahren schrieb Europol von Anwendungen zu „Data Fusion“. Gemeint ist Data Mining, also die Möglichkeit, die existierenden Datenbestände in Beziehung zu setzen und grafisch anzuzeigen. Das Wall Street Journal hatte darüber hinaus berichtet, dass Europol an der Entwicklung neuer digitaler Analysewerkzeuge zur Mustererkennung arbeitet. Ausweislich eines Zitats des Europol-Chefs Trols Oerting geht es dabei um Einbrüche in Wohnungen und Fahrzeuge. Eine solche Vorhersagesoftware wird derzeit von mehreren deutschen Landeskriminalämtern getestet. Data Mining und „Predictive Analytics“ sollten laut Oerting durch ein 150 Millionen Euro-Programm von Europol beforscht werden. Dabei handelt es sich wohl um das EU-Forschungs- und Rahmenprogramm, wo Europol an einigen Projekten beteiligt ist.

Im Arbeitsprogramm werden die Anwendungen als „future-forecasting and scenario techniques“ beschrieben. Es ist aber unklar, inwiefern ihr Einsatz überhaupt rechtlich einwandfrei ist. Data Mining ist Polizeibehörden in Deutschland beispielsweise verboten. Auch die neue „Ma3tch“-Technologie zur Echtzeit-Analyse von Finanzdaten, auf deren Einführung Europol drängt, darf vom deutschen Bundeskriminalamt (BKA) nicht angewandt werden. Würden aus Deutschland angelieferte Daten bei Europol mit automatisierten Verfahren verarbeitet, könnte es sich um einen Verstoß gegen Datenschutzbedingungen handeln. Deutschland ist laut eigenen Angaben „zweitstärkster Nutzer“ von Europols Informationssystemen. Auf Nachfrage erklärt die Bundesregierung, ihr sei „nicht bekannt, welche Anwendungen Europol für die konkrete Auswertung einzelner Ersuchen nutzt“. Anfragen aus Deutschland würden „ergebnisorientiert gestellt“, eine Eingrenzung auf bestimmte Analysetools finde nicht statt.

Zentraler Tracking-­Server bei Europol

Welche weiteren, neuen Anwendungen Europol nun beschaffen will ist ebenfalls unklar, die Worthülsen im Arbeitsprogramm lassen aber einige Rückschlüsse zu. So sollen Verfahren zur Auswertung und zum Vergleich biometrischer Daten eingeführt werden. Europol beabsichtigt, auf das neue EU-System zur Speicherung von Fingerabdrücken im Schengener Informationssystem zuzugreifen. Auch die Beschaffung von Software zur Erkennung von Personen und Sachen in Bild- und Videodaten steht laut dem Arbeitsprogramm auf der Europol-Wunschliste.

Bald sollen die Arbeiten an einem „European Tracking System“ abgeschlossen sein, mit dem europäische Polizeibehörden ihre GPS-Peilsender (etwa an Fahrzeugen Verdächtiger) auch grenzüberschreitend betreiben können. Europol richtet hierzu einen zentralen Server ein, der außer durch die Mitgliedstaaten auch von „Third Parties“ genutzt werden kann. Die Ausgabeformate der Peilsender werden hierfür standardisiert.

Die EU-Kommission hat nun zusätzliche Mittel von 12,5 Millionen Euro bereitgestellt. Als Begründung der IT-Aufrüstung dient die im Rechtsetzungsverfahren befindliche neue Europol-Verordnung, wonach die Agentur in einem „erweiterten Mandat“ ihre Analysefähigkeiten verbessern und ausweiten soll. Geplant ist etwa, dass Europol zukünftig selbst Daten von europäischen Polizeibehörden einsammeln darf und nicht mehr auf entsprechende Lieferungen warten muss. Die Verabschiedung der neuen Verordnung ist aber nicht in Sicht: Die immensen Auswirkungen auf den Datenschutz werden von vielen EU-Abgeordneten kritisiert. Im Entwurf des Rates ist vorgesehen, dass Europol zukünftig selbst nach Informationen suchen darf. Zunächst wäre dies auf das Internet beschränkt. Personenbezogene Daten sind aber ausdrücklich eingeschlossen.

BKA steuert Erfahrungen bei

Auch die Fähigkeiten zur Verarbeitung von Gesichtsbildern sollen ausgebaut werden. Laut dem Bundesinnenministerium (BMI) sei das Bundeskriminalamt (BKA) von Europol um Informationen zu seinem „Fotovergleichs/-identifizierungswerkzeug“ gebeten worden. Dabei sei es auch um Anwendungen gegangen, die beim BKA „in der Erprobung oder in Planung“ sind. Als Hintergrund der Anfrage habe Europol ein „stark angestiegenes Datenvolumen“ beklagt. Insbesondere fielen immer mehr Bilder und Videoaufnahmen „im Zusammenhang mit der ‚Syrienreisen-Problematik’“ an. Gemeint sind wohl „ausländische Kämpfer“: Angehörige der EU-Mitgliedstaaten, die sich in Syrien oder dem Irak islamistischen Gruppen anschließen und später nach Europa zurückkehren. Europol hat hierzu ein eigenes Analyseprojekt „Travellers“ gestartet, an dem auch das BKA teilnimmt. In umfangreichen Dossiers werden alle verfügbaren Informationen über einzelne Personen zusammengetragen. Die erst letztes Jahr begonnene Datensammlung enthielt zum Stichtag 31. Januar Beiträge zu 2.835 Personen.

Nun ist die Einrichtung eines „Europäischen Zentrum zur Terrorismusbekämpfung“ bei Europol geplant. Auch die EU-Kommission schlägt mittlerweile ein solches „European Counter Terrorism Centre“ (ECTC) vor. Bisher waren entsprechende Pläne lediglich vom Anti-Terrorismusbeauftragten der EU befürwortet worden. Vor einem Monat hatte schließlich Europol selbst für ein ECTC geworben. Die Polizeiagentur will auf diese Weise auch geheimdienstliche Informationen („intelligence data“) speichern und analysieren. Europol will dadurch „zentrale Nachrichtenlücken“ („key intelligence gaps“) schließen.

„Vorran­giger Infor­ma­ti­ons­ka­nal“ für geheim­dienst­liche Infor­ma­ti­o­nen?

Das vorgeschlagene ECTC folgt offensichtlich dem Vorbild amerikanischer „Fusion Centres“ und dem deutschen „Gemeinsamen Terrorismusabwehrzentrum“ (GTAZ) in Berlin-Treptow. Dort arbeiten alle zuständigen Polizei- und Geheimdienstbehörden in themenspezifischen Arbeitsgruppen zusammen. Derartige Analysegruppen existieren bei Europol mit den „Focal Points“. Nur eine Woche nach dem Europol-Papier hat auch die Justiz-Agentur Eurojust einen offensichtlich abgestimmten, gleichlautenden Vorschlag zur Verarbeitung von „intelligence data“ gemacht. Europol und Eurojust machen sich mit dem neuen Vorschlag den Umstand zunutze, dass es keine einheitliche Definition für den Begriff „intelligence data“ gibt.

Europol will sogar zum „vorrangigen Informationskanal“ für „intelligence data“ werden. Die Daten könnten von Geheimdiensten der Mitgliedstaaten angeliefert werden. In Deutschland wäre dies das Bundesamt für den Verfassungsschutz. Derzeit darf Europol keine als „Geheim“ oder „Vertraulich“ eingestufte Daten verarbeiten. Das könnte sich laut dem Europol-Papier vom März ändern. Das EU-Anti-Terror-Zentrum soll abgeschottete, abhörsichere Hochsicherheitstrakte erhalten. Dies wäre nötig, um die Anforderungen für die Verarbeitung als vertraulich oder geheim eingestufter Informationen zu erfüllen.

Europol begründet seine Vorschläge mit Aufforderungen des Rates, seine Anstrengungen zum Informationsaustausch unter den Mitgliedstaaten zu verstärken. Derartige Formulierungen waren womöglich gar nicht als Aufforderung zum Aufbau einer geheimdienstlichen Kriminalpolizei gedacht, finden sich aber seit 9/11 in vielen Ratsdokumenten. Auch in den Beschlüssen zur Einrichtung des Schengener Informationssystems, des SWIFT-Abkommens oder Abkommen zum Tausch von Fluggastdaten tauchen Formulierungen zur Verarbeitung von „intelligence data“ auf.

Meldestelle für Inter­ne­tin­halte

Inzwischen hat Europol auch Details zu einer geplanten „EU-Meldestelle für Internetinhalte“ skizziert. In einem Konzeptpapier werden Aufgabenbereiche und Vorgehensweisen dieser „EU Internet Referral Unit“ beschrieben. Die Pläne zum Aufbau der Meldestelle sind erst seit einem Treffen der EU-Innenminister_innen im März 2015 bekannt.

Im April hatte die EU-Kommission in ihrer „Europäischen Sicherheitsagenda“ erklärt, die Meldestelle solle bereits ab dem 1. Juli einsatzbereit und dem ebenfalls noch nicht errichteten „Europäischen Zentrum zur Terrorismusbekämpfung“ angegliedert werden. Der Fokus beider Einrichtungen liege demnach zunächst auf islamistischem Terrorismus. Die EU-Mitgliedstaaten sollen nun Kontaktstellen für die Meldestelle benennen. In Deutschland läge die Zuständigkeit wohl bei der Staatsschutzabteilung des Bundeskriminalamts (BKA). Für Mitte April hatte Europol die nationalen Ableger der Meldestelle zu einem operativen Treffen eingeladen.

Europol will mithilfe der neuen Einrichtung den „terroristischen Missbrauch des Internets“ eindämmen. Geplant seien sowohl „präventive“ als auch „pro-aktive“ Maßnahmen. So würden unliebsame Inhalte oder Accounts bei Sozialen Medien markiert und entsprechende Informationen unter den Behörden der EU-Mitgliedstaaten verteilt. Eine „dynamische Aufklärung“ soll weitere Informationen zu den dahinter stehenden Personen oder Organisationen besorgen.

„Besei­ti­gung“ und Sperre

In der „Europäischen Sicherheitsagenda“ hatte die Kommission davon gesprochen, die Meldestelle solle die Mitgliedstaaten bei der „Beseitigung gewalttätiger extremistischer Online-Inhalte“ unterstützen. Auch im nun veröffentlichten Europol-Dokument ist die Rede vom „removal of content“. Die ebenfalls erwähnte Sperre („suspension“) bezieht sich wohl auf Accounts bei Sozialen Medien. Vor jeder Maßnahme soll Europol eine „ganzheitliche Risikoeinschätzung“ vornehmen. Diese sollte auch die möglichen Auswirkungen auf die Leser_innen der zu entfernenden Inhalte bewerten.

Doch die Accounts und Webseiten werden von Polizeien und Geheimdiensten auch zur Beobachtung oder Infiltration genutzt. Das Offline-Nehmen von Internetauftritten soll deshalb unterbleiben, wenn sie brauchbare Informationen liefern oder für Ermittlungen benötigt werden. Genannt werden Twitter-Accounts, die – sofern das Geotagging aktiviert ist – GPS-Koordinaten in ISIS-Gebieten offenlegen könnten. Auch würden Geheimdienste über Twitter Informationen über „lokale Ereignisse“ erhalten.

Die Meldestelle soll laut der Kommission eng „mit Partnern aus der Wirtschaft“ kooperieren. Gemeint sind unter anderem Google, Facebook und Microsoft, mit denen Europol bereits im Oktober vergangenen Jahres zu einem Abendessen zusammenkam. Im Mai ist ein weiteres Treffen geplant. Dort sollen auch „Bedenken der Strafverfolgungsbehörden in Bezug auf die neuen Verschlüsselungstechniken Raum gegeben werden“.

BKA legt Grundstein

Das deutsche BKA hatte 2007 den Grundstein für die neue Meldestelle gelegt. Damals startete der deutsche Staatsschutz bei Europol das Projekt „Check the Web“, das ebenfalls „Veröffentlichungen terroristischer Organisationen und von Personen aus dem islamistisch-jihadistischen Spektrum“ speichert und analysiert. Die Abteilung beschäftigt Linguist_innen für sieben beobachtete Sprachen, darunter auch russisch. Gespeichert werden Videos, Audiodateien, Textveröffentlichungen und Erklärungen. Eine eigens angelegte Analysedatei enthält Daten über mehr als 10.000 „Dokumente und Individuen“. Als „assoziierte Drittstaaten“ dürfen derzeit auch die Schweiz und Australien darauf zugreifen.

Die neue Meldestelle will nicht nur auf dem Projekt „Check the Web“ aufbauen. Auch die Expertise des gerade einmal zwei Jahre alten „Cybercrime-Zentrums“ (EC3) soll bei der Analyse und Beseitigung unliebsamer Inhalte helfen. Im Europol-Dokument werden dessen Fähigkeiten zur „Cyber-Aufklärung“ und forensischen Analyse gelobt. Das Zentrum habe auch gute Erfahrung in der Analyse von Massendaten.

Laut der Antwort auf eine Kleine Anfrage ist das BKA an mindestens 17 Maßnahmen von Europol beteiligt, die sämtlich die bessere Ausforschung und Kontrolle des Internet zum Ziel haben. So sollen etwa eine „Internetauswertungskoordinierungsgruppe“ gegründet und „Maßnahmen gegen inkriminierte Kommunikationsplattformen“ gestartet werden. Die Maßnahmen waren von Europol zuerst im ebenfalls nicht öffentlichen „Operativen Aktionsplan zur Priorität ‚Cyberangriffe‘“ aufgeführt worden. Zwar wird als Zeitraum für die Maßnahmen sämtlich das Jahr 2015 angegeben. Einige von ihnen werden aber laut der Bundesregierung erst 2016 beendet.

Ausge­rechnet mit Großbri­tan­nien „Cyber­be­dro­hung“ auf Mitglied­s­taaten abwehren

Mehrere der Projekte werden sogar vom BKA geleitet, bei anderen fungiert die deutsche Behörde als „Co-Leiter“ oder als „Unterstützer“. Worin sich die konkrete Beteiligung ausdrückt bleibt unklar, auch die personellen Ressourcen werden nicht mitgeteilt. Laut der Antwort auf eine frühere Kleine Anfrage sind „Aktionsleiter“ „insbesondere für die Koordination der Aktivitäten der Teilnehmer an der Maßnahme verantwortlich“. Sie sollten sich des Weiteren „mit den Co-Aktionsleitern zur weiteren Gestaltung der Maßnahme abstimmen und weitere Teilnehmer einbinden“.

Bekannt war bislang lediglich die deutsche Teilnahme an der Arbeitsgruppe „Joint Cyber Action Task Force“ (J-CAT). Die Einheit ging im September 2014 bei Europol an den Start und gehört zum European Cybercrime Center. Im Fokus stehen Hackerangriffe, Botnets, Bitcoins und NutzerInnen, die sich via TOR und I2P unsichtbar machen. Die J-CAT soll Bedrohungen möglichst im Vorfeld analysieren und ihre Gefährlichkeit gewichten. Hierfür werden sowohl „offene Quellen“ als auch polizeiliche Erkenntnisse aus Ermittlungen genutzt.

Eine der neuen Arbeitsgruppen soll „Cyberbedrohungen mit Auswirkung auf zwei oder mehr Mitgliedstaaten“ identifizieren. Die Aktionsleitung ist ausgerechnet Großbritannien übertragen, das nach Medienberichten selbst für einen Cyberangriff auf EU-Einrichtungen verantwortlich sein soll und dabei den Trojaner „Regin“ einsetzte. Die Co-Aktionsleitung der Maßnahme liegt bei Europol. Die EU-Agentur hatte damals kein Mandat erhalten, den mutmaßlich vom britischen Geheimdienst GCHQ durchgeführten Angriff aufzuklären.

MATTHIAS MONROY ist Wissensarbeiter, Aktivist und Mitglied der Redaktion der Zeitschrift Bürgerrechte & Polizei/CILIP. In Teilzeit Mitarbeiter des MdB Andrej Hunko. Publiziert in linken Zeitungen, Zeitschriften und Online-Medien, bei Telepolis, Netzpolitik und in Freien Radios.

Der Beitrag Cybersecurity-Initiativen als Teil einer Technologieoffensive erschien zuerst auf Humanistische Union.

(Red.) Politik sollte die unterschiedlichen Einzelinteressen gerecht ausgleichen. Die Praxis sieht jedoch anders aus. Deutsche Europaabgeordnete dienen als Lobbyist_innen der nationalen Sicherheitsindustrie. Ein Fallbeispiel über die fehlende Trennung zwischen Politik und Lobbyismus.

Der europäische Sicherheitsmarkt ist einer der am stärksten wachsenden Wirtschaftsbereiche der Europäischen Union (EU). Laut den aktuellsten Zahlen der Europäischen Kommission, ist das weltweite Marktvolumen innerhalb von zehn Jahren von etwa zehn auf rund 100 Milliarden Euro im Jahr 2011 angewachsen und hat sich damit – trotz der Krise – verzehnfacht. Die europäischen Unternehmen haben mit einem Jahresumsatz von 25 bis 36 Milliarden Euro einen Anteil von etwa 25 Prozent am Weltmarkt. Rund 180.000 Personen arbeiten europaweit in diesem Sektor. Die europäische Sicherheitswirtschaft ist damit ein wichtiger Faktor auf dem globalen Sicherheitsmarkt und ein Schwergewicht der europäischen Wirtschaft.(1)

Zur Unterstützung dieser Industriebranche investiert die EU: knapp 1,7 Milliarden Euro werden bis zum Jahr 2020 in die Sicherheitsforschung fließen.(2) Die Ausgaben sind Teil des EU-Rahmenforschungsprogramms „Horizon 2020“. Das Ziel ist, wie beinahe in jedem EU-Programm erklärt wird, durch Innovationen bei Produkten, Dienstleistungen und Prozessen, die Wettbewerbsfähigkeit der europäischen Unternehmen zu erhöhen und dadurch mehr Wachstum und Arbeitsplätze zu schaffen.(3)

Oder kurz formuliert: „Horizon 2020“ ist ein Subventionsprogramm für die europäische Sicherheitsindustrie. Denn Grundlagenforschung, etwa im Bereich Datenschutz, oder sozial- und rechtswissenschaftliche Untersuchungen werden nur in marginalem Ausmaß gefördert. Das zeigt auch eine Analyse des Vorgängerprogramms „FP7“, dem 7. Rahmenforschungsprogramm der EU. Unter den Top-10-Projektteilnehmern befinden sich vor allem multinationale Unternehmen, etwa EADS oder Thales. Mit rund 43 Prozent ist die Industriebeteiligung an der Sicherheitsforschung im Vergleich zu anderen Forschungsfeldern überdurchschnittlich hoch. Die Erfolgsrate ist jedoch, laut der Europäischen Kommission, mit 16 Prozent äußerst niedrig.(4)

Der Zugang zu den Brüsseler Forschungsgeldern ist hart umkämpft. Unzählige Interessenvertreter_innen versuchen gegenüber der Politik die Höhe der Forschungsgelder, die Ausschreibungskriterien oder den Verwendungszweck zu beeinflussen und begleiten gleichzeitig die Unternehmen während des gesamten Ausschreibungsprozesses. Der direkte Zugang zu den politischen Entscheidungsträger_innen ist dabei eine Grundvoraussetzung für den Erfolg. Die klare Trennung zwischen Lobbyismus und Politik, die es den Amtsträger_innen ermöglichen soll, unabhängig und im Sinne des Gemeinwohls Entscheidungen zu treffen, wird dabei zur ineffizienten Hürde, die es zu überwinden gilt.

Lobbyismus „Made in Germany“



Der Wettbewerb um die EU-Forschungsgelder ist stark von nationalen Konflikten geprägt. Jedes Mitgliedsland versucht das größte Stück vom Förderkuchen für seine heimische Industrie zu generieren. Für die deutsche Sicherheitsindustrie lobbyiert unter anderem die „German European Security Organisation“ (GESA). Der in Berlin ansässige, gemeinnützige Verein wurde im Jahr 2006 gegründet und hat sich nach eigenen Angaben zum Ziel gesetzt, Wissenschaft und Forschung zu fördern, insbesondere auf dem Gebiet der zivilen Sicherheit. Dazu gehört „die Entwicklung und Erarbeitung von Forschungszielen auf nationaler und europäischer Ebene“ sowie die „Durchführung eigener Forschungsvorhaben“.(5) Anders formuliert: Der Verein versucht die Vergabe der Forschungsmittel erfolgreich im Sinne seiner Mitglieder zu beeinflussen, etwa als die Gestaltung der Vergaberegeln für „Horizon 2020“ im Europäischen Parlament auf der Tagesordnung stand. Für den Parlamentsbericht „Rule for the participation and dissemination in ‚Horizon 2020’ (2014-2020)“ war Christian Ehler Berichterstatter, der damalige Vorstandsvorsitzende der GESA. Er formuliert somit federführend die neuen Spielregeln. Als Schattenberichterstatter fungiert der deutsche Sozialdemokrat Norbert Glante, ebenfalls GESA-Mitglied. Die Fraktionen, die von den beiden Europaabgeordneten im zuständigen Industrie-Ausschuss vertreten wurden, stellten mit 38 von insgesamt 61 stimmberechtigten Abgeordneten die deutliche Mehrheit. Beste Voraussetzungen für die Neugestaltung im Sinne der GESA-Mitglieder.


Christian Ehler, Schattenberichterstatter für den entscheidenden Parlamentsbericht, setzte sich auch erfolgreich dafür ein, als es darum ging, die Fördergeldmenge für die Sicherheitsindustrie auszuweiten: Bis „Horizon 2020“ wurden aus dem Forschungsrahmenprogramm lediglich zivile Forschungsprojekte unterstützt, jedoch keine militärischen. Damit war der Zugang zu einem großen Teil der EU-Fördergelder für die Sicherheitsindustrie limitiert. Das musste sich ändern. Durch die Förderung von sogenannten „Dual-Use-Technologien“, also Technologien, die sowohl zivil als auch militärisch einsetzbar sind, wurde mit diesem Grundsatz gebrochen.

Herzliche Einigkeit



Gegründet wurde die GESA unter anderem von acht deutschen Europaabgeordneten, darunter Alexander Graf Lambsdorff von der FDP (heute Vizepräsident des EU-Parlaments), Erika Mann von der SPD (derzeit Lobbyistin für Facebook) oder eben Christian Ehler von der CDU. Die Logik des Vereins ist rasch erklärt: Wer zahlt, bekommt exklusiven Zugang zu den politischen Entscheidungsträger_innen und kann seine politischen Interessen effektiver durchsetzen als die Konkurrenz. Vereinsmitglieder, wie etwa der Rüstungskonzern „EADS Deutschland GmbH“ oder der Hersteller von Nacktscannern „Smith Heimann GmbH“, müssen jährlich bis zu 5.000 Euro Mitgliedsbeitrag zahlen.(6)

Dass die Tätigkeit als politische_r Amtsträger_in mit der Tätigkeit als Lobbyist_in der deutschen Sicherheitsindustrie für viele Europaabgeordnete Hand in Hand geht, belegen zahlreiche Beispiele. Bereits bei der Gründung hatte die damalige Vize-Vorsitzende Erika Mann in der Presseaussendung ihren parlamentarischen Assistenten für Rückfragen als Kontaktperson angegeben. Ähnliches gilt auch für die parlamentarische Mitarbeiterin von Christian Ehler. Aus ihrem E-Mail-Verkehr wird ersichtlich, dass diese organisatorische Aufgaben für die GESA übernahm. So wurden Vertreter_ innen der Europäischen Kommission zu verschiedenen GESA-Veranstaltungen eingeladen.vii Die Tätigkeit für die GESA ist damit nicht mehr losgelöst vom Mandat zu betrachten. Das Lobbying für die Sicherheitsindustrie übernimmt der/die Politiker_in und sein/ihr Personal persönlich. Die Kosten dafür tragen nicht mehr das Unternehmen oder der Verein, sondern die Steuerzahler_innen.

Allerdings existiert seit 1. Januar 2012 ein Verhaltenskodex für Mitglieder des EU-Parlaments. Darin wurden Leitprinzipien für die Mitglieder definiert. Danach müssen diese bei der Ausübung ihres Mandats nach der Maßgabe von „Uneigennützigkeit, Integrität und Transparenz“ handeln. Die Mitglieder handeln „nur im öffentlichen Interesse und erlangen oder erstreben keinerlei unmittelbaren oder mittelbaren finanziellen Nutzen oder eine sonstige Zuwendung.“ Es wurde festgelegt, dass Mitglieder „keinerlei Vereinbarung“ eingehen, um „im Interesse einer anderen juristischen oder natürlichen Person zu handeln oder abzustimmen.“(8)

Mit Blick auf die Gesamtkonstruktion der GESA ergeben sich viele Fragwürdigkeiten, denn die Arbeit der GESA ist keine Arbeit im öffentlichen Interesse, sondern im Interesse der zahlenden Unternehmen. Auch dürfen parlamentarische Assistent_innen ausschließlich für Tätigkeiten in Zusammenhang mit der Mandatsausübung eingesetzt werden. Für Christian Ehler war die Arbeit der Assistentin für die GESA ein „Einzelfall“ der „nicht beabsichtigt gewesen“ wäre. Und überhaupt: „Viele Abgeordnete engagieren sich für gemeinnützige Belange. Wenn Sie das verbieten, müssen Sie alle Abgeordneten rausschmeißen, die ADAC-Mitglied sind.“ Für ihn, so Ehler, sei die GESA ein „gemeinnütziger Verein wie die Caritas.“(9)

Zähe Transparenz



Die enge Verzahnung zwischen Politik und Wirtschaft, die sich in der GESA widerspiegelt, haben die Autoren in einer umfassenden Studie mit dem Titel „Lobbyismus der Sicherheitsindustrie in der Europäischen Union“ im Februar 2013 thematisiert. Nach der Veröffentlichung reagierte die GESA zunächst verärgert. Dass die Europaabgeordneten die Interessen der deutschen Sicherheits- und Rüstungsindustrie vertreten sei „wahrheitswidrig“, so eine Vertreterin der GESA. Sollte Gegenteiliges behauptet werden, würde man dies als „Verleumdung“ auffassen, gegen die juristische Schritte angewendet werden.(10)

Juristische Schritte wurden bisher keine eingeleitet, schließlich wollte man auch nur abschrecken. Echte Transparenz bei der Tätigkeit der GESA war eben nicht erwünscht. Marginale Veränderungen wurden vorgenommen, etwa die Postanschrift. Zuvor war es der Platz der Republik 1, in 11011 Berlin, dort hat der Deutsche Bundestag seinen Sitz und auch Christian Ehler sein CDU-Büro. Dabei diente diese Adresse wohl eher als Briefkasten, denn der eigentliche Sitz der GESA-Geschäftsstelle war im nahegelegenen Potsdam, in der Gregor-Mendel-Straße. Auch dort hat Christian Ehler ein weiteres Büro, sein „Europabüro“. Gleichzeitig hat unter dieser Anschrift auch die Landesgeschäftsstelle der CDU Brandenburg und die „Junge Union Brandenburg“ eine Postanschrift. Nach der Veröffentlichung der Fakten ist die GESA umgezogen. Heute residiert der Verein „unabhängig“ im Berliner Stadtteil Charlottenburg.

Auch die Struktur der GESA wurde leicht verändert. Sämtliche Vorstandsmitglieder, die gleichzeitig als Abgeordnete tätig waren, sind heute nicht mehr im Vorstand. Scheinbar sollte die zuvor kritisierte enge Verzahnung von Mandat und Vorstandstätigkeit aufgelöst werden. Mit der Neubesetzung des Vorstandes führte die GESA jedoch einen Beirat ein. In der Satzung der GESA heißt es zu den Aufgaben des neuen Gremiums: „Vorstand und Geschäftsführung werden bei ihrer Arbeit von einem Beirat unterstützt und beraten.“(11)

Ehemalige Vorstandsmitglieder, die noch immer im EU-Parlament aktiv sind, etwa Monika Hohlmeier(12) und Christian Ehler(12), sind beide nun Mitglieder des Beirates der GESA. Auch der Bundestagsabgeordnete Hans-Peter Uhl, ehemaliges Vorstandmitglieder der GESA, sitzt im Beirat.(14) Die Änderungen sind rein kosmetischer Natur. Eine klare Trennung zwischen Politik und Lobbyismus sieht anders aus. Die GESA veröffentlichte nach der Publikation unserer Studie zwar, wer Mitglied des Vereins ist; wer jedoch neben den oben Genannten Mitglied des Beirates ist, erfährt man auf der Internetseite der GESA nicht. Mit dem Beirat wurde sogar noch weiter zur Verschleierung der Arbeit des Vereins beigetragen, da nur über Umwege ersichtlich wird, wer Einfluss auf die Arbeit der GESA nimmt. Hinzu kommt, dass die allgemeinen Informationen auf der Internetseite des Vereins deutlich weniger werden. Im Bereich „Rückblick“ ist der letzte Beitrag vom Juni 2013, der letzte „Kalendereintrag“ vom Oktober 2014, der „Terminplaner“ ist gänzlich ohne aktuelle Einträge. Zuvor konnte man an diesen Stellen Informationen über die Tätigkeit der GESA einsehen.

Die Verflechtung der Politik mit den finanzstarken Partikularinteressen, die als Art „fünfte Gewalt im Staat“ die politischen Entscheidungen dirigieren, ist ein Teil der politischen Realität. Jeder der dies aus demokratiepolitischen Gründen verurteilt, wird mit Klagen bedroht. Verständnis für die Probleme die dadurch entstehen, existiert nur bei einer Minderheit der Politiker_innen. Denn anstatt die Strukturen ernsthaft zu ändern und Mandatsträger_innen zumindest aus einflussreichen Positionen im Verein zu entfernen, reagiert die GESA mit Intransparenz und versteckten neuen Strukturen, um die Einflussmöglichkeiten der Abgeordneten und damit die Attraktivität des Vereins für Unternehmen nicht zu beschneiden. Die Politiker_innen fühlen sich eben wohl in ihrer Rolle als Erfüllungsgehilfen der Sicherheitsindustrie.

MARTIN EHRENHAUSER   war von 2009 bis 2014 Mitglied des Europäischen Parlaments a. D. Im Jahr 2013 veröffentlichte er zusammen mit Alexander Sander die Studie „Lobbyismus der Sicherheitsindustrie in der Europäischen Union“. In einer weiteren Fallstudie analysierte Ehrenhauser, wie Großunternehmen, die regelmäßig gegen Gesetze verstoßen, in den Beratungsgremien der Europäischen Kommission politische Entscheidungen beeinflussen. Ehrenhauser ist u.a. Mitunterzeichner der österreichischen Verfassungsklage gegen die Vorratsdatenspeicherung.

ALEXANDER SANDER   ist Geschäftsführer des Vereins „Digitale Gesellschaft“ in Berlin. Als Mitarbeiter von Martin Ehrenhauser veröffentlichte er zusammen mit ihm im Jahr 2013 die Studie „Lobbyismus der Sicherheitsindustrie in der Europäischen Union“

Anmerkungen:

(1)  Vgl. Europäische Kommission: Eine Industriepolitik für die Sicherheitsbranche; KOM (2012) 417 endgültig; Brüssel, 2012; S. 2, 4.

2) Http://ec.europa.eu/research/horizon2020/pdf/press/fact_sheet_on_horizon2020_budget.pdf.

(3) Http://www.horizont2020.de/einstieg-programmaufbau.htm.

(4) Ehrenhauser/Sander: GESA & EOS – Lobbyismus der Sicherheitsindustrie in der Europäischen Union; Seite 13.

(5) Satzung der GESA in der Fassung vom 18. Juni 2013, § 2.

(6) Ehrenhauser/Sander: GESA & EOS – Lobbyismus der Sicherheitsindustrie in der Europäischen Union; Seite 12.

(7) Ebd.; Seite 31.

(8) Verhaltenskodex der EU-Abgeordneten.

(9) Http://www.taz.de/!5072754/.

(10) Http://www.profil.at/home/eu-lobbying-ruestungsbranche-sichere-stimmen-356960.

(11) Satzung der GESA in der Fassung vom 18. Juni 2013, §11.

(12) Http://www.europarl.europa.eu/mepdif/96780_DFI_rev0_DE.pdf.

(13) Http://www.europarl.europa.eu/mepdif/28226_DFI_rev1_DE.pdf.

(14)Https://www.bundestag.de/bundestag/abgeordnete18/biografien/U/uhl_hans_peter/259136.

Der Beitrag Politik im Dienst der Sicherheitsindustrie erschien zuerst auf Humanistische Union.

(Red.) Das Hacken informationstechnischer Systeme wird schnell in die Nähe von Terrorismus gerückt. Hinter dem Hack an sich und dem, was mittlerweile als Hacktivismus verstanden wird, stehen hingegen häufig Versuche, bestehende Technik (und Technologien) so zu verändern, dass sie in einem positiven Sinne mehr Menschen zur Verfügung stehen.

Hack bezeichnet den spielerischen kreativen Umgang mit Technik jeglicher, also nicht notwendigerweise nur computer- oder programmierungstechnischer Art. Martin Luther hat durch seine Übersetzung aus dem Lateinischen die Bibel gehackt. Johann Gutenberg versetzte dem Printmonopol der Klöster den Todesstoß. Eine analoge Uhr, umgebaut zu einem Zeitzünder, wäre also ein Hack, ganz ohne dass dabei Computer oder Programmierarbeit eine Rolle spielten. Die berühmteste Lizenz für Freie Software, die GPL-Lizenz, benutzt das Urheberrecht und die zuständigen Gerichte, um die Privatisierung von Programmcode zu verhindern: Mit den Mitteln des Eigentumsrechts gegen das Geistige Eigentum, ein Hack der bürgerlichen Eigentumsordnung. Trägt die Arbeit an einem derartigen Hack zur Verbesserung menschlicher Arbeits- und Lebensbedingungen bei, zu mehr Freiheit und mehr Gerechtigkeit, dann lässt sich meines Erachtens von Hacktivismus sprechen.

So verstanden wäre Wikipedia der erfolgreiche, massenwirksame Hack des Prinzips Enzyklopädie. Diese fasst den Begriff des Hacktivismus eng entlang von Protestformen: „Hacktivismus (Kofferwort aus Hack und Aktivismus, engl. Hacktivism), ist die Verwendung von Computern und Computernetzwerken als Protestmittel, um politische Ziele zu erreichen. Die erste Verwendung erfuhr der Begriff im Juli 2004 von Mitgliedern eines Hacker-Kollektivs namens Omega.“

Hacktivismus beansprucht und praktiziert m. E. vier Freiheiten:

• Die Freiheit, ein Werk für jeden Zweck einsetzen zu dürfen (primäre Freiheit).
• Die Freiheit, untersuchen zu dürfen, wie ein Werk funktioniert, und es den eigenen Bedürfnissen anzupassen (wissenschaftliche Freiheit).
• Die Freiheit, das Werk an andere weiterzugeben und Kopien für andere machen zu dürfen (soziale Freiheit).
• Die Freiheit, das Werk verbessern und diese Verbesserungen zum allgemeinen Wohl zugänglich machen zu dürfen (konstruktive Freiheit).

Mittels einer weiteren begrifflichen Vorklärung sei eine leichtere Verständigung zum Thema Technik und Technologie ermöglicht. Diese Begriffe werden zwar in den Debatten häufig synonym gebraucht, bezeichnen allerdings wesentlich unterschiedliche Gegenstände. So beschreibt aktuell das Unsichtbare Komitee(1) den Unterschied:

„Offenbar lasse sich die menschliche Existenz einteilen in Technisches und Nichttechnisches. Falsch: Man muss sich nur vor Augen halten, in welchem unfertigen Zustand der menschliche Sprössling zur Welt kommt und wie lange es braucht, bis er sich in der Welt bewegen, bis er sprechen kann, um festzustellen, dass sein Verhältnis zur Welt nichts Gegebenes ist, sondern vielmehr Ergebnis eines Erarbeitungsprozesses. Das Verhältnis des Menschen zur Welt ist, da es keiner natürlichen Angemessenheit untersteht, grundlegend künstlich, technisch, um mit den Griechen zu sprechen. (…) Man „errichtet“ also nicht eine Lebensform; man eignet sich nur Techniken an, zum Beispiel durch Übung oder Ausbildung. (…) Jedes Werkzeug konfiguriert und verkörpert ein bestimmtes Verhältnis zur Welt und wirkt sich auf denjenigen aus, der es verwendet. Die derart geprägten Welten sind nicht gleichwertig, ebenso wenig wie die Menschen, die darin leben. Genauso wenig, wie diese Welten gleichwertig sind, sind sie auch hierarchisierbar. Es gibt nichts, was erlauben würde, einige gegenüber anderen als „fortschrittlicher“ anzusehen. Sie sind nur unterschiedlich, jede mit ihrer eigenen zukünftigen Entwicklung, ihrer eigenen Geschichte. Um die Welten hierarchisch einzuteilen, muss man ein Kriterium einführen, ein implizites Kriterium, das erlaubt, die verschiedenen Techniken zu klassifizieren. Dieses Kriterium ist im Fall des Fortschritts schlicht die in Zahlen messbare Produktivität der Techniken, unabhängig davon, was ethisch in jeder Technik steckt oder was sie an wahrnehmbarer Welt hervorbringt. (…) Zu ergänzen ist, dass der Albtraum dieser Zeit nicht daher rührt, dass sie „die Ära der Technik“, sondern daher, dass sie eine Ära der Technologie ist. Technologie ist nicht die Vollendung der Techniken, sondern im Gegenteil die Enteignung der Menschen von ihren verschiedenen grundlegenden Techniken. Technologie ist die Systematisierung der effizientesten Techniken und folglich die Einebnung der Welten und der Verhältnisse zur Welt, die sich jeweils in ihr zeigen. (…) Der Kapitalismus ist in diesem Sinn wesensmäßig technologisch; er ist die rentable Organisierung der produktivsten Techniken in einem System.“ (Unsichtbares Komitee, An unsere Freunde, Hamburg 2015, 94ff)(2)

Oft richten sich hacktivistische Aktionen gegen die Technologie von Konzernen (z.B. zuletzt eine Kampagne gegen Google Glasses) oder Kampagnen der Privatwirtschaft (z.B. Initiativen gegen die Einführung von Digital Rights Management, DRM), die gegen diese Freiheiten anarbeiten, indem sie ihre politischen Ziele in ihre Technologie einarbeiten (wie besonders offensichtlich im Falle von DRM), um auf der Grundlage von Geheimwissen und Nutzungsverboten ihre Macht und ihre Kapitalbasis zu erweitern. Indem Hacktivismus sich derart nicht auf Appelle beschränkt und auf die regulierende Intervention etwa einer staatlichen Instanz wartet, um diese Freiheiten zu schützen oder überhaupt erst herzustellen, gerät er auch in ein Spannungsverhältnis zu staatlicher Ordnungspolitik, bisweilen gar in den Fokus von Kriminalisierung und sogar Terrorismusverdacht.

Letzteres mag daran liegen, dass eine radikale Fraktion tatsächlich so weit geht, grundsätzlich über die Dialektik von Produktivkraftentwicklung und Entwicklung der Produktionsweise nachzudenken: Wie hackt man eine Gesellschaftsformation, z.B. bürgerliche Herrschaft und Kapitalismus? Die Produktivkraftentwicklung wird dabei verstanden als die Dialektik von Produktionsmittel- und Arbeitskraftentwicklung, also die Entwicklung von Energiemaschinen (Dampfmaschine etc.), Prozessmaschinen (Fließband etc.), Algorithmusmaschinen (PC etc.) einerseits und von menschlicher Kreativität andererseits. Strategisch gehen sie dabei ganz ähnlich vor wie die Menschenrechtsbewegung oder die Arbeiterbewegung: Rechte werden formuliert, deren Allgemeingültigkeit derselben behauptet und schließlich für die Durchsetzung dieser Behauptung gekämpft. In diesem Zusammenhang sind die folgenden Mittel zu sehen, die wir meist gar nicht oder nur als zufälligerweise Betroffene miterleben oder vereinzelt und ohne Kontext über die Massenmedien berichtet bekommen.

Taktisch – auf der Ebene der Wahl der Mittel – bedeutet Hacktivismus den Kampf gegen die proprietären Technologien und Infrastrukturen von Konzernen, die ihre Benutzer_innen auf unmündige Kund_innen reduzieren und neben Geld auch noch alle Daten sammeln, derer sie habhaft werden können. Die so gewonnenen Kund_innenprofile werden nicht nur weiterverkauft, sondern akkumuliert und automatisiert ausgewertet. Mittelfristig läuft das nicht auf individualisierte Werbung und präventive Polizeiarbeit hinaus, sondern auf die kybernetische Gesellschaftssteuerung im Ganzen. Dieser offensichtlich unfreien Perspektive begegnet Hacktivismus mit dem Aufbau und der Verbreitung quelloffener und freier (im obigen vierfachen Sinne) Infrastrukturen, Architekturen, Schnittstellen, Programme und Algorithmen. Kurz: Mit der Arbeit an befreiter Technik.

Ganz konkret bedeutet dies: der Ausbau freier ITK-Infrastruktur schon auf dem Hardware Layer (Leitungen, Netze, Funkstrecken, Server) statt Telekom-Konzernnetze. Diesen Ansatz verfolgen Freifunk und die vielen kleinen Community-Provider wie etwa in-berlin.de. Server und Endgeräte werden auf der Basis von freier Hardware und freier Software betrieben. Die Zukunft der Hardware ist derzeit besonders wichtig, denn bei freier Software ist schon sehr viel möglich. Beispiele gibt es im Bereich der Internet-Router für das private Zuhause: Da lassen sich Embedded Devices auf Open Hardware-Basis (RaspberryPi) schon heute mit freier Software (openwrt) betreiben.

Als Konstruktionsprinzipien gelten neben o.g. Freiheit, wie sie die General Public License (GPL) versteht, also „infektiös“ und eben nicht beschränkt und kolonisierbar durch die Kapitalverwertung, wie im Fall einiger Creative Commons- und Open Source-Lizenzen, dann noch Modularität und offene Dokumentation aller Schnittstellen, damit alles mit allem für alle kombinierbar bleibt und keine Idee „nicht umsetzbar“ ist. Ein wichtiger Zwischenschritt wäre die Chipfabrik, die auf der Basis von freier Hard- und Software die Grundkomponenten freier Hardware herstellbar macht.

Dies kann man sich sicherlich so ähnlich vorstellen wie die vielen Fablabs, in denen schon heute 3D-Drucker und CNC-Fräsen Bestandteile von Maschinen herstellen und auch einfache Schaltkreise ätzen können. Obwohl viele dieser Anlagen nicht im anti-kapitalistischen Sinne betrieben werden, treiben sie zur Zeit die Produktionsmittelentwicklung voran, die immerhin von ihren impliziten Möglichkeiten her (vgl. Dath/Kirchner: Der Implex) über die kapitalistische Produktionsweise hinausweist. Kurz: Auch Maschinen, und sogar „Maschinen, die Maschinen machen“, lassen sich herstellen, ohne auf kapitalistische Produktionsstätten zurückgreifen zu müssen. Auch aus in der kapitalistischen Produktion aus Effizienzgründen ausgesonderten Komponenten lassen sich befreite Maschinen zusammenbauen, Stichwort: Hardware Hacking.

Das ist das übergreifende hacktivistische Programm, das derzeit läuft – und in dessen Zusammenhang wir z.B. Urheberrechtsnovellen oder Verträge wie TTIP oder die monopolistische Investitionspolitik der großen kalifornischen Technologie- und Internetkonzerne verstehen müssen.

Zu den sozialen Bedingungen dieser technophilen Utopie: Menschen müssen in der Lage sein, Lebenszeit für die Entwicklung solcher Technik aufwenden zu können. Das wäre möglich, wenn die hohe Besteuerung kapitalistischer Unternehmen (statt deren Subventionierung) zu einer Einnahmenbasis für eine kostenlose öffentliche Daseinsvorsorge und die Finanzierung eines ausreichenden Grundeinkommens führen würde. Ein positiver Nebeneffekt bestünde darin, dass diese Art der Umverteilung die kapitalistische Dynamik tendenziell abbremsen würde.

Emanzipatorischer Hacktivismus fließt in drei Kampagnen,die als solche natürlich nirgends von einem Zentralkomitee formuliert und vorangetrieben werden, sondern sich eher hinter dem Rücken der Subjekte in der Wechselwirkung ihrer Aktivitäten entfalten: 1. Entwicklung und Aufbau freier Technik, 2. Gesellschaftspolitik zur Unternehmensbesteuerung und für die Förderung öffentlicher Güter und eines Grundeinkommens und 3. die Sabotage der technologischen Entsprechungen der Technik, die als freie umgesetzt ist, wenn das notwendig scheint, um die gesellschaftliche Dominanz der kapitalistischen Bereitstellung des jeweiligen Gebrauchswerts zu brechen.
Die Verteidiger_innen der bestehenden, menschen- und naturvernichtenden Produktionsweise reduzieren diese Bewegung bei jeder Gelegenheit auf den letztgenannten Aspekt. Der sogenannte Maschinenstürmer- oder Luddismusvorwurf entbehrt dabei nicht einer gewissen Ironie, wenn er sich ausgerechnet gegen die technikaffinen Teile sozialer Bewegungen richtet. Denn die Rebellion gegen aufgeherrschte Technologien und die mit ihnen daherkommenden Ideologien findet auf der Basis selbst angeeigneter technischer Fähigkeiten und real existierender, selbstorganisierter Alternativen statt – und wird vor diesem Hintergrund überhaupt erst relevant und damit gefährlich. Aber:

„Wo der Ingenieur alles, was funktioniert, in Beschlag nimmt, damit alles besser funktioniert und er es in den Dienst des Systems stellen kann, fragt sich der Hacker, „wie funktioniert das?“, um die Schwachstellen aufzudecken, aber auch, um sich andere Nutzungen auszudenken, um zu experimentieren. Experimentieren heißt dabei: zu erleben, was diese oder jene Technik in ethischer Hinsicht bedeutet. Der Hacker entreißt die Techniken dem technologischen System, um sie daraus zu befreien. Wenn wir Sklaven der Technologie sind, dann genau deshalb, weil es eine Reihe von Artefakten unserer täglichen Existenz gibt, die wir für besonders „technisch“ halten und sie auf immer als einfache Blackboxes betrachten, deren unschuldige Nutzer wir wären. … Zu verstehen, wie jedes beliebige der Geräte funktioniert, die uns umgeben, verschafft uns ein Mehr an unmittelbarer Macht und gibt uns Zugriff auf das, was uns nun nicht mehr als Umgebung erscheint, sondern als eine Welt, die in einer bestimmten Weise aufgebaut ist und in die wir eingreifen können. Das ist die Sicht des Hackers auf die Welt.“ (Unsichtbares Komitee, ebd.)

Gute Literatur – ob fantastisch oder populärwissenschaftlich – ist in der Lage, unser Vorstellungsvermögen zu hacken: Empfehlenswert ist hier von Dietmar Dath sein Buch „Maschinenwinter“, in dem er für die „Befreiung der Maschinen vom Verwertungszweck als notwendiger Bedingung für die Befreiung des Menschen“ plädiert. Sein zusammen mit Barbara Kirchner verfasstes Buch „Der Implex“ bildet mit Wikipedia an der Seite einen wahren Steinbruch für emanzipatorische Fortschrittsarbeit, geordnet nach Wissenschafts- und Politikfeldern, den ideengeschichtlichen Zeitraum der letzten 350 Jahre überblickend. Dath verarbeitet seine Themen immer wieder auch in Romanform: Hier sei „Deutsche demokratische Rechnung“ empfohlen. Der Roman verhandelt implizit die Möglichkeit der kybernetischen sozialistischen – und eben nicht markt- d.h.: fonds-gesteuerten – Gesamtplanung.

MARKUS EUSKIRCHEN   ist Online-Redakteur (u.a.www.wem-gehoert-die- welt.org und www.prokla.de) und Techno-Politik-Referent am Institut für Gesellschaftsanalyse der Rosa-Luxemburg-Stiftung Berlin.

Anmerkungen:

(1)  Nach der Sabotage an einer Eisenbahnstrecke, auf der im November 2008 ein Castortransport mit radioaktivem Material geplant war, wurde die erste Publikation des Unsichtbaren Komitees, Der kommende Aufstand, von der französischen Regierung als ein »Handbuch des Terrorismus« beschlagnahmt und war Vorwand für die skandalöse, z.T. monatelange Inhaftierung von neun Menschen aus dem Dorf Tarnac. Die Polizei in Frankreich hat im Zuge der »Terrorismusbekämpfung« viele Spekulationen angestellt, wer dazugehören mag, aber die Identität der Autoren wurde nie bekannt

(2)  Online unter  https://linksunten.indymedia.org/de/system/files/data/2015/01/1713951010.pdf.

Der Beitrag Hacktivism (vollständig) erschien zuerst auf Humanistische Union.

Red.) Eine neue Richtlinie soll den Mitgliedstaaten der Europäischen Union zur Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit (NIS) verhelfen. Der bisherige Diskussionsstand geht dabei nicht besonders weit, mehr noch setzen Überlegungen einzelner Länder, die nur in interinstitutionellen Verhandlungen geäußert werden, die Sicherheit von EU-Bürger_innen regelrecht aufs Spiel. Nur vor dem Hintergrund einer gesamteuropäischen Debatte kann eine wirksame Richtlinie entstehen.

Der Vorschlag der Europä­i­schen Kommission vom Februar 2013

Am 7. Februar 2013 stellte die damalige Kommissarin für die Digitale Agenda, Neelie Kroes, den Vorschlag für eine EU-Richtlinie zur Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit in der Union(1) (NIS) vor. Die NIS-Richtlinie ist eine der Maßnahmen der europäischen Cybersicherheits-Strategie(2)und nicht zu verwechseln mit der Cybercrime-Richtlinie(3), die sich mit der Strafbarkeit von Angriffen auf Informationssysteme beschäftigt.

Das Ziel der NIS-Richtlinie ist eine Erhöhung der Sicherheit des Internets sowie der Netz- und Informationssysteme.(4) Die Notwendigkeit des Gesetzesvorschlags wird mit dem gemeinsamen Binnenmarkt begründet, denn „[…] die Robustheit und Stabilität der Netze und Informationssysteme [sind] eine Voraussetzung für die Vollendung des digitalen Binnenmarkts und für das reibungslose Funktionieren des Binnenmarkts überhaupt.“(5)Mit einer gemeinsamen Strategie für die Netz- und Informationssicherheit (NIS) können große finanzielle Verluste vom Binnenmarkt abgewendet werden, so die Erklärung zur Richtlinie. Die Rechtsgrundlage für die Richtlinie ist Artikel 26 des Vertrags über die Arbeitsweise der Europäischen Union.(6)

Betreiber_innen kritischer Infrastrukturen von Netzwerk- und Informationssystemen, aber auch „wichtige Anbieter von Diensten der Informationsgesellschaft“ sowie öffentliche Verwaltungen sollen stärker in die Pflicht genommen werden, Sicherheitsrisiken zu bewältigen.(7)Die Richtlinie strebt eine Mindestharmonisierung der Netz- und Informationssicherheit an, denn die uneinheitlichen Ansätze innerhalb der Europäischen Union führen zu einem unterschiedlichen Schutzniveau für Verbraucher_innen und Unternehmen in der EU. In fünf Kapiteln formuliert die Europäische Kommission in ihrem Gesetzesvorschlag folgende Kernpunkte:

• Kapitel I definiert den Anwendungsbereich. Dazu gehören „digitale Informationssysteme“ (Internet), öffentliche Verwaltungen und Betreiber kritischer Infrastrukturen, also Betreiber aus Sektoren wie Strom, Transport, Wasser und Energie.
• Kapitel II setzt den Rahmen für nationale NIS-Strategien, die in allen Mitgliedstaaten zu entwickeln sind. Darüber hinaus soll ein Mindestniveau nationaler Kapazitäten im Bereich der Netz- und Informationssicherheit geschaffen werden, indem eine für die NIS zuständige Behörde eingerichtet wird, die angemessenen personell, finanziell und technisch ausgestattet werden soll. Außerdem sollen IT-Notfallteams (Computer Emergency Response Teams – CERT) eingerichtet werden.
• Ein gemeinsames Kooperationsnetz zur Bewältigung von Sicherheitsrisiken und Vorfällen soll gebildet werden, mithilfe dessen sich die Mitgliedstaaten gegenseitig über Vorfälle informieren. Die Europäische Agentur für Netz- und Informationssicherheit (ENISA) soll die Arbeit dieses Netzes auf Anfrage unterstützen (Kapitel III). Den zuständigen Behörden müssen alle Sicherheitsvorfälle gemeldet werden, die ihre Netze und Informationssysteme und auch die Kontinuität kritischer Dienste beeinträchtigen.
• Kapitel IV beschäftigt sich mit der Meldung von Sicherheitsvorfällen.
• Kapitel V befasst sich mit Sanktionen im Falle von Verstößen gegen die Richtlinie. Die Ausgestaltung der Sanktionen bleibt den Mitgliedstaaten vorbehalten.

Der Anhang der Richtlinie beschreibt die Aufgaben der CERTs und stellt eine Liste betroffener Typen von Marktteilnehmer_innen auf.

Stärken und Schwächen des Kommis­si­ons­ent­wurfs

Die NIS-Richtlinie spricht ein sehr relevantes Problem der Informationsgesellschaft an. Informationstechnik durchdringt inzwischen alle Bereiche des gesellschaftlichen Lebens. Bürger_innen aber auch Unternehmen und der Staat selbst werden immer abhängiger von funktionsfähiger und sicherer Informationstechnologie. Die Digitalisierung und Vernetzung bietet Chancen aber auch Risiken für die Bewältigung der politischen, wirtschaftlichen und gesellschaftlichen Herausforderungen. Angesichts der wachsenden Bedeutung informationstechnischer Systeme ist es wichtig, die Verwundbarkeiten der Netz- und Informationssicherheit zu minimieren. Daher ist die Initiative der Europäischen Kommission zur Verbesserung der Netz- und Informationssicherheit zu begrüßen.

Als positiver Ansatz der Richtlinie ist auch die in Artikel 14 vorgesehene Meldepflicht von Sicherheitsvorfällen zu bewerten. Durch dieses Mittel können Wiederholungen gleicher Angriffe verhindert und Gegenmaßnahmen entwickelt werden. Dass Sicherheitsverstöße gegen die national zu definierenden Maßnahmen im Bereich NIS offengelegt werden müssen, ist ein Fortschritt. Problematisch ist allerdings, dass die Informationen zuerst nur an die zuständigen Behörden geleitet werden und nicht an die betroffenen Nutzer_innen. Nur sofern ein öffentliches Interesse besteht, unterrichtet die zuständige Behörde die Betroffenen (Art. 14 Absatz 4). Dieses Problem könnte allerdings durch Artikel 31 und 32 („Meldung von

Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“ und  „Benachrichtigung der betroffenen Person von einer Verletzung des Schutzes ihrer personenbezogenen Daten“) der momentan verhandelten EU-Datenschutzverordnung im Sinne der Nutzer_innen gelöst werden.(8)

Leider motiviert die Richtlinie nicht ausreichend durch proaktive Ansätze, um Sicherheitsvorfälle vorzubeugen. Unternehmen und Organisationen werden wenig Anreize geboten, ihre Defizite in der IT-Sicherheit zu beseitigen. Regelmäßige Prüfungen und Belohnungen für das Finden und Beseitigen von Sicherheitslücken könnten z.B. ein solcher Anreiz sein. Allerdings können die in Artikel 17 vorgesehenen Sanktionen dafür sorgen, dass Verstöße gegen die in der Richtlinie festgelegten Maßnahmen nicht folgenlos bleiben und wenigstens nachträglich behoben werden.

Die Richtlinie verliert außerdem kein Wort über die Problematik, dass Mitgliedstaaten selbst Begehrlichkeiten über ausnutzbare Sicherheitslücken haben und diese für eigene Angriffe nutzen können.(9)Die Pläne des BND, noch unveröffentlichte Sicherheitslücken, sogenannte Zero Day Exploits, zu kaufen, setzen bewusst die Sicherheit der Bürger_innen aufs Spiel und fachen den Schwarzmarkt für den Verkauf von Sicherheitslücken an.

Ein weiterer Schwachpunkt ist, dass Softwareprodukte aus der Richtlinie ausgeklammert sind (Erwägungsgrund 24). Klare Haftungsregeln können jedoch zu einem starken wirtschaftlichen Anreiz für die Hersteller von Software sein, um IT-Sicherheit proaktiv zu betreiben. Eindeutige Haftungsregelungen schaffen Anreize zur Qualitätssicherung.

Problematisch ist des Weiteren das Ausschließen von Kleinstunternehmen aus dem Anwendungsbereich der Richtlinie. Die Größe eines Unternehmens ist nicht zwangsläufig für seine Bedeutung als kritische Infrastruktur ausschlaggebend. Oft wird als Beispiel angeführt, dass der Ausfall eines kleinen Betreibers, z.B. eines lokalen Wasserversorgers, keine größeren Auswirkungen habe. Dabei wird vernachlässigt, dass beispielsweise sehr viele Wasserversorger ähnliche, wenn nicht sogar identische Steuerungssysteme nutzen. Gezielt ausgenutzte Schwachstellen in diesen Systemen können damit eine große Anzahl „kleiner Betreiber“ beeinträchtigen und in der Gesamtheit durchaus eine erhebliche Störung verursachen.(10)

Die Position des Europä­i­schen Parlaments – Stand März 2014

Als federführender Ausschuss wurde im April 2013 der Ausschuss für Binnenmarkt und Verbraucherschutz (IMCO) des Europäischen Parlaments benannt. Außerdem erarbeiteten auch der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) und der Ausschuss für Industrie, Forschung und Energie (ITRE) Stellungnahmen zum Richtlinienvorschlag. Berichterstatter ist Andreas Schwab (CDU). Das Europäische Parlament legte seinen Standpunkt(11) in erster Lesung zum Vorschlag der NIS-Richtlinie am 13. März 2014 fest. Während eine Reihe von Änderungsanträgen aus dem LIBE(12), v.a. im Bereich Datenschutz, vom IMCO aufgenommen wurden, haben zahlreiche andere wichtige Änderungsanträge wie z.B. Haftungsregelungen von Softwareherstellern keine Mehrheit gefunden. Der wohl größte Unterschied zum Vorschlag der Kommission bezieht sich auf den Anwendungsbereich der Richtlinie. Laut Parlament soll die Richtlinie nicht für Anbieter von Diensten der Informationsgesellschaft wie z.B. soziale Netzwerke, Suchmaschinen oder Cloud-Computing-Dienste gelten. Stattdessen legt das Europäische Parlament den Fokus auf sogenannte kritische Infrastrukturen, also Sektoren wie Strom, Transport, Wasser und Energie.

Als Begründung führt das Parlament in einem Arbeitsdokument an, dass der Kommissionsvorschlag Dienste der Informationsgesellschaft wie Internet-Zahlungs-Gateways, E-Commerce-Plattformen, soziale Netzwerke, Suchmaschinen, usw. nicht klar definiert. Klare Definitionen seien allerdings im Interesse der Rechtssicherheit der EU-Gesetzgebung nötig. Der Titel des Gesetzes „Richtlinie über Maßnahmen zur Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit in der Union“ macht damit in der Parlamentsposition einen Anspruch geltend, der so nicht eingelöst werden kann. De facto beschäftigt sich die Richtlinie vor allen Dingen mit kritschen Infrastrukturen und kaum noch mit IT-Sicherheit. Es bleibt somit eine Regelungslücke im Bereich der sensible Daten verarbeitenden Wirtschaft im Internet. Für Dienste der Informationsgesellschaft sieht das Parlament lediglich Kooperation auf freiwilliger Grundlage und damit eine Selbstregulierung der Betreiber vor. Konnte das Parlament dem Druck der IT-Lobby nicht standhalten? Bleibt es bei freiwilligen Regelungen, werden sich Unternehmensverbände wie BITKOM(13), EDIMA und DIGITALEUROPE(14 freuen.

Inter­in­sti­tu­ti­o­nelle Verhand­lungen – seit Oktober 2014

Im Oktober 2014 begannen die interinstitutionellen Verhandlungen (Triloge) zur NIS-Richtlinie. Auf Seiten des Rats gab es zwar noch keine Position der Mitgliedstaaten, nach Ansicht der italienischen Präsidentschaft schienen allerdings die wichtigsten Grundsätze und allgemeinen Leitlinien klar zu sein und erste Sondierungsgespräche mit dem Europäischen Parlament begannen. Anfangs erwartete das Parlament noch im Herbst 2014 eine Einigung im Rat zur Richtlinie. In der Regel beginnen die Trilogverhandlungen erst, wenn alle Insitutionen sich auf ihren eigenen Standpunkt geeinigt haben. Die Hoffnungen auf ein vollständiges Verhandlungsmandat des Rats, den general approach (allgemeine Ausrichtung), wurden jedoch enttäuscht. Die Mitgliedstaaten konnten lediglich stückweise Positionen zum Verhandlungsstand(15) liefern.

Die mit Spannung erwartete (unvollständige) Position des Rats aus Oktober 2014(16) überraschte das Verhandlungsteam auf Seiten des Parlaments sehr, denn der Rat schien kaum zur Kooperation bereit. Der Rat löschte fünf Artikel aus dem Kommissionsvorschlag und ersetzte sie mit den zwei neuen Artikeln 8 (a) und 8 (b) zur Kooperationsgruppe und den CERT-Netzwerken. Die Artikel 9 (Sicheres System für den Informationsaustausch), 10 (Frühwarnungen), 11 (Koordinierte Reaktion) und 12 (NIS-Kooperationsplan der Union) entfielen vollständig. Insgesamt sind dadurch die Bestimmungen des Kapitels III deutlich verwässert, wodurch das ursprüngliche Konzept eines Kooperationsmechanismus ineffektiv wird. Als Begründung wies der Rat darauf hin, dass die strategisch-politische Zusammenarbeit und die operative Zusammenarbeit zwei sich nicht gegenseitig ausschließende Konzepte seien. Sein Fokus liegt allerdings deutlich auf der strategischen Zusammenarbeit. Es lässt sich feststellen, dass die Mitgliedstaaten untereinander kaum zur Kooperation bereit sind. Die ursprüngliche Intention der Kommission, mithilfe von NIS finanziellen Schaden vom europäischen Binnenmarkt abzuwenden, wird in den Mitgliedstaaten als zu starke Einmischung in ihre nationale Sicherheit empfunden. Der europaweite Austausch im Bereich der IT-Sicherheit wird zwar als wichtig eingestuft, unklar ist allerdings, wie offen sich die Mitgliedstaaten tatsächlich über Probleme der nationalen Sicherheit miteinander austauschen wollen. Offen bleibt auch, ob sie es zulassen werden, dass die Europäische Kommission diese Gespräche leitet.

Bis Ende 2014 konnte man sich in zwei Trilogen nicht auf einen gemeinsamen Text einigen. Das Parlament stimmte im Dezember 2014 zwar zu, den Vorschlag des Rats zu berücksichtigen, die Artikel 9 bis 12 zu löschen, aber nur unter der Bedingung, dass wesentliche Elemente aus dem ursprünglichen Kooperationsmechanismus in die neuen Artikel 8a und 8b Eingang finden. Parlament und Rat einigten sich im Dezember 2014 darauf, dass die Verhandlungen erst weitergeführt werden, sobald der Rat eine umfassendere Position zum Richtlinienvorschlag bezieht. Nach über dreimonatiger Verhandlungspause begann die lettische Ratspräsidentschaft die Verhandlungen mit dem Parlament fortzuführen. Das neue Mandat der Letten(17) macht dem Parlament zwar einige Zugeständnisse, Artikel 8a und 8b sind jedoch deutlich schwächer, als der mit den Italienern verhandelte Kompromiss. Das Parlament fordert z.B., dass die Mitgliedstaaten regelmäßige „peer reviews“ (Gutachten) im Bereich NIS einholen, während der Rat nur „Gespräche auf freiwilliger Basis“ vorsieht. Außerdem strebt das Parlament an, dass Erfahrungen mit einschlägigen Stellen wie dem Europäischen Zentrum zur Bekämpfung der Cyberkriminalität (EC3) und Datenschutzbehörden ausgetauscht werden – diesen Teil löscht der Rat komplett. Darüber hinaus fortdert das Parlament regelmäßige Berichte über die Zusammenarbeit. Auch eine derartige Berichtspflicht sieht der Rat nicht vor.

Kritisiert wird weiterhin, dass sich NIS v.a. auf sogenannte kritische Infrastrukturen beziehe, wobei offen bleibt, wann ein Betreiber „kritisch genug“ ist. Dies soll von jedem Mitgliedstaat selbst definiert werden. Ob Dienste der Informationsgesellschaft auch zum Anwendungsbereich der Richtlinie gehören sollen, ist noch Verhandlungssache. Am 30. April 2015 fand eine dritte Trilog-Sitzung statt, bei der keine Einigung erzielt wurde. Die Standpunkte des Rates und des Europäischen Parlaments liegen immer noch weit auseinander. Ein weiterer Trilog ist für Juni geplant

Fazit und Forderungen an eine wirksame NIS-Richt­linie

In der Sache verdient der Vorschlag zur Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit Unterstützung, er geht aber nicht weit genug. Bestenfalls dokumentieren die vorgeschlagenen Maßnahmen erfolgte Angriffe und reagieren auf diese. Präventive Maßnahmen – etwa die verantwortungsvolle Veröffentlichung bekannter Sicherheitslücken enthält die Richtlinie nicht. Auch die Schaffung von Anreizen für Hersteller von IT-Systemen, in mehr Sicherheit zu investieren, sieht die Richtlinie nicht vor. Die Enthüllungen von Edward Snowden, die jüngsten Attacken auf den Bundestag, auf den französischen Fernsehsender TV5 Monde oder auf die belgische Tageszeitung Le Soir machen deutlich, wie sehr die Sicherheit von Netz- und Informationssystemen gefährdet ist.

Eine gesamteuropäische Debatte zu NIS ist dringend notwendig. Mit all ihren Schwächen kann die vorgelegte NIS-Richtlinie nur ein erster Schritt in Richtung IT-Sicherheit sein. Was wir brauchen, sind generelle Mindeststandards für die IT-Sicherheit von Produkten und Dienstleistungen sowie klare Haftungsregelungen für Hersteller. Die Kommission ist deshalb weiterhin in der Bringschuld, Gesetzesvorschläge zu unterbreiten, damit die europäische Netz- und Informationssicherheit gewährleistet werden kann. IT-Sicherheit ist eine Vertrauensfrage. Leider scheinen die Mitgliedstaaten untereinander kaum zur Kooperation bereit zu sein. Dass laut Parlament die Richtlinie nicht für Anbieter von Diensten der Informationsgesellschaft gelten soll und stattdessen nur für sogenannte kritische Infrastrukturen, ist ambitionslos und eine große Schwäche. Eine starke NIS-Richtlinie muss alle Bereiche der Informationstechnologie durchdringen, um wirksam zu sein. Es wundert auch, dass das Europäische Parlament zur gleichen Zeit einen sehr starken Abschlussbericht zur Sonderuntersuchung des Parlaments zum Überwachungsprogramm der NSA und anderer Geheimdienste(18)verabschiedet hat. In diesem Abschlussbericht geht es auch um die Verbesserung der IT-Sicherheit in der EU. In diesem Bericht werden klare Ziele und greifbare Lösungsmöglichkeiten aufgeführt:

• Mehr in IT-Kapazität und -Sicherheit der EU investieren. Das verringert die Anfälligkeit der EU gegenüber Angriffen.
• Mehr in lokale und unabhängige Technologien der EU investieren und IT-Schlüsselkapazitäten aufbauen. Ein digitaler „New Deal“ ist erforderlich. Der Wettbewerbsvorteil europäischer IT-Industrie soll genutzt werden.
• Scharfe Verurteilung der Senkung von IT-Sicherheitsstandards mithilfe von „Backdoors“ („Hintertüren“) durch die Geheimdienste.
• Aufforderung an die Kommission, ihre bestehenden Befugnisse im Rahmen der Datenschutzrichtlinie für elektronische Kommunikation und Telekommunikation in vollem Umfang zu nutzen, um den Schutz der Vertraulichkeit von Kommunikation durch Maßnahmen zu verbessern.
• Verwendung von quelloffener Software in allen Umgebungen, in denen die IT-Sicherheit eine wichtige Rolle spielt.
• Forderung genereller Verschlüsselung der Kommunikation einschließlich E-Mails und SMS.

Noch laufen die Verhandlungen zur NIS-Richtlinie. Der Abschlussbericht zur Sonderuntersuchung des Parlaments zum Überwachungsprogramm der NSA und anderer Geheimdienste bietet zahlreiche Lösungsvorschläge. Nun liegt es an den Verhandelnden diese umzusetzen, damit die Bürger_innen vor Bedrohungen geschützt werden.

ZORA SIEBERT   Jahrgang 1986, studierte Europäische Studien und Internationale Beziehungen an den Universitäten Magdeburg, Brno, Straßburg und Passau. Seit 2012 ist sie Mitarbeiterin des Mitglieds des Europäischen Parlaments Jan Philipp Albrecht in Brüssel. Dort ist sie u.a. für die Betreuung des Ausschuss für Binnenmarkt und Verbraucherschutz (IMCO) zuständig. 

Anmerkungen:

(1)  Richtlinie des Europäischen Parlaments und des Rates über Maßnahmen zur Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit in der Union, http://eeas.europa.eu/policies/eu-cyber-security/cybsec_directive_de.pdf.

(2)  Cybersicherheitsstrategie der Europäischen Union – ein offener, sicherer und geschützter Cyberraum,

ttp://eeas.europa.eu/policies/eu-cyber-security/cybsec_comm_de.pdf.
(3)  Richtlinie des Europäischen Parlaments und des Rates über Angriffe auf Informationssysteme und zur Aufhebung des Rahmenbeschlusses 2005/222/JI des Rates, http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2013-0321+0+DOC+XML+V0//DE#BKMD-4

(4)  Vgl. Begründung NIS-Richtlinie, S. 2., http://eeas.europa.eu/policies/eu-cyber-security/cybsec_directive_de.pdf.

(5)  Vgl. Begründung NIS-Richtlinie, S. 9, http://eeas.europa.eu/policies/eu-cyber-security/cybsec_dir ective_de.pdf.

(6)  Vertrag über die Arbeitsweise der Europäischen Union, Artikel 26: (1) Die Union erlässt die erforderlichen Maßnahmen, um nach Maßgabe der einschlägigen Bestimmungen der Verträge den Binnenmarkt zu verwirklichen beziehungsweise dessen Funktionieren zu gewährleisten., https://dejure.org/gesetze/AEUV/26.html.

(7)  Vgl. Begründung NIS-RICHTLINIE, S 2 http://eeas.europa.eu/policies/eu-cyber-security/cybsec_ directive_de.pdf

(8)  http://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:52012PC0011&from=en.

(9)  http://www.zeit.de/digital/internet/2014-11/bnd-zero-day-exploit-sicherheit.

(10) Vgl. Prof. Dr.-Ing. Jochen H. Schiller, Stellungnahme zum Entwurf eines Gesetzes zur Erhöhung der Sicherheit informations-technischer Systeme / Drucksache 18/4096 vom 25.02.2015.

(11) Position des Europäischen Parlaments vom 13.3.2014, http://www.europarl.europa.eu/sides/get Doc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0244+0+DOC+XML+V0//DE.

(12) Änderungsanträge des LIBE http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-521.696%2b02%2bDOC%2bPDF%2bV0%2f%2fDE.

(13) http://www.bitkom.org/files/documents/BITKOM_Position_on_Cybersecurity_and_NIS-Directive. pdf.

(14) http://www.digitaleurope.org/DesktopModules/Bring2mind/DMX/Download.aspx?Command=Core_Download&EntryId=930&PortalId=0&TabId=353.

(15) Ratsposition zu NIS vom 3. Oktober 2014, http://statewatch.org/news/2015/jan/eu-council-NIS– prep-trilogue-13848-14.pdf.

(16) Ratsposition zu NIS vom 3. Oktober 2014, http://statewatch.org/news/2015/jan/eu-council-NIS– prep-trilogue-13848-14.pdf.

(17) Ratsposition zu NIS vom 5. März 2015, http://statewatch.org/news/2015/mar/eu-council-NIS-con solidated-multi-col-6788-15.pdf.

(18) Zusammenstellung des LIBE-Ausschuss über alle Dokumente zur Sonderuntersuchung des Parlaments zum Überwachungsprogramm der NSA und anderer Geheimdienste, http://www.europarl. europa.eu/committees/en/libe/subject-files.html?id=20130923CDT71796.

Der Beitrag Europäische Dimension von „Cybersicherheit“ (vollständig) erschien zuerst auf Humanistische Union.