Politische Lösungen für eine sichere Zukunft der Kommunikation

von
ComputerchipComputer (Symbolbild). Urheber: Tim Simpson. Creative Commons LizenzvertragDieses Bild steht unter einer Creative Commons Lizenz.

Mit der Massenüberwachung durch Geheimdienste und das Bekanntwerden immer neuer, schwerwiegender IT-Sicherheitslücken, steigt der Druck auf die Bundesregierung wirksame Schutzmaßnahmen für sichere Kommunikation und Nutzung von Computern von Bürger/innen und Wirtschaft zu ergreifen.  

Dazu ist nötig zu verstehen, wie Sicherheitslücken zustande kommen und wie sie verhindert werden können. Aus diesem Verständnis heraus können die notwendigen politischen Weichenstellungen folgen, die weiter unten vorgestellt werden.

Wie entstehen Sicherheitslücken und welche Typen gibt es?

Der einfache Bug

Die große Mehrheit von Sicherheitslücken in heutigen Software- und Kommunikationssystemen entsteht durch simple Programmierfehler (Bugs). Die komplexe Logik der Programme bildet sich in Millionen von Zeilen Programmcode ab, die von großen Teams geschrieben werden. Sie alle zu lesen und ihre gegenseitigen Abhängigkeiten und Referenzierungen vollständig zu durchdringen, ist Einzelpersonen kaum möglich. Einzelne Programmteile (Routinen) der Software verlassen sich auf das korrekte Funktionieren anderer, bestimmte Vorbedingungen werden angenommen, aber an anderer Stelle nicht sichergestellt. So entstehen Bedingungen, die ein Angreifer durch vom Programm unerwartetes Verhalten auslösen, und so seine Integrität unterwandern kann. Häufig ist der notwendige "Fix", also die Reparatur des Programms, nur das Löschen oder Hinzufügen einer einzelnen Zeile, wie der inzwischen berühmt gewordenen Zeile "goto fail;" in Apples Implementierung der SSL-Verschlüsselung, die das gesamte Sicherheitsmodell in sich zusammenbrechen ließ.

Backdoors und "Bugdoors"

Oft werden in Programme, Anwendungen und Apps auch absichtliche Hintertüren eingebaut, die den Entwicklern oder staatlichen Stellen eine Möglichkeit des Fernzugriffs (also die Umgehung aller Sicherheitsmaßnahmen) bieten sollen. Da immer auch mit dem Entdecken solcher Backdoors gerechnet werden muss, werden diese oft so gestaltet, dass ihre absichtliche Platzierung glaubhaft abzustreiten ist.  Äußerlich ähneln sie daher nicht selten versehentlichen Bugs (Programmierfehlern), was den schönen Begriff der "Bugdoor" geprägt hat.

Absichtliche Design-Schwächen

Insbesondere in Kommunikationssystemen werden Angriffsflächen jedoch häufig schon spezifiziert (geplant), bevor überhaupt eine Zeile Programmcode geschrieben ist: Selbstverständlich ist jeder Telefonanbieter in der Lage, alle Telefonate aller Kunden abzuhören und selbstverständlich sind alle E-Mail-Anbieter in der Lage, alle E-Mails aller Kunden zu lesen. Das gilt natürlich ebenso für die Sicherheitsbehörden, mit denen der Anbieter kooperiert, wie für staatliche Stellen oder kriminelle Angreifer, die den Anbieter unterwandern. Da die Massenüberwachung möglich ist, findet sie auch statt.

Doch das muss nicht so sein: Kommunikationssysteme, die ihre Nutzer auch vor dem Zugriff durch den Mail- oder Telekommunikationsanbieter schützen, sind zwar möglich, aber ihre Verbreitung von keiner Regierung dieser Welt wirklich gewünscht. Zu groß ist die Sorge, allen Menschen ein nicht überwachbares Kommunikationsmittel zur Verfügung zu stellen und die eigenen und freundschaftlich verbundenen Geheimdienste in ihrer Überwachung zu beschränken.

Das System De-Mail,  als "sichere Alternative zur E-Mail" beworben, ist hierfür das beste Bespiel: Nicht nur bietet es keine sichere Verschlüsselung, es wurde zudem unter Beteiligung der gleichen US-amerikanischen Firma entwickelt , die auch an der Entwicklung des Staatstrojaners beteiligt ist, und in den USA einer der größten Zulieferer der NSA ist: Der Computer Sciences Corporation, kurz CSC.

Sichere Kommunikation braucht politische Lösungen

Um eine verlässliche und sichere Kommunikation zu ermöglichen, müssen alle drei Arten von Sicherheitslücken eingedämmt werden: Unabsichtliche Bugs, absichtliche Backdoors und schon im Design eingeplante Schwächen.

Hierzu gibt es mehrere Ansätze, die eine Politik, die IT-Sicherheit und sichere Kommunikation fördern will, umsetzen sollte:

1) Open Source Software fördern

Das Finden von Bugs und Backdoors ist eine sehr mühselige Arbeit, die enorm erleichtert wird, wenn nicht erst das fertige Programm geprüft, sondern sein zugrundeliegender Programm-Quelltext gelesen werden kann. Nur bei einer Software, deren vollständiger Quelltext offen liegt, besteht überhaupt die Basis für ein Vertrauen in deren Integrität. Denn wie wir alle wissen ist Vertrauen gut, aber Kontrolle besser. Genau diese öffentliche Kontrolle verweigern jedoch die meisten kommerziellen Anbieter, da sie das Abfließen ihrer Entwicklungen an die Konkurrenz fürchten: Wer den Quelltext hat, kann die Software weiterentwickeln, verbessern oder verändern. Das wäre zwar im Interesse der Allgemeinheit, nicht jedoch im Interesse des Anbieters.

Hier gilt es, einerseits kommerzielle Anreize zur Open-Source-Entwicklung zu bieten, andererseits entsprechende Bedingungen für die Anbieter von sicherheitsrelevanter Software zu setzen: Auch heute noch operieren sie größtenteils frei von jeglicher Haftung für ihr intransparentes Produkt, und somit ohne Anreiz zur nennenswerten Qualitätssicherung.

2) Den Schwarzmarkt trockenlegen

Wer mit seiner Fähigkeit zum Finden von Sicherheitslücken den Lebensunterhalt bestreiten möchte, dem bieten sich heute zwei Möglichkeiten:

Ein solides mittelständisches Auskommen hat, wer als Dienstleister Sicherheitsprüfungen bei Dienstanbietern und Software-Schmieden durchführt, und sich im Anschluss an seine Untersuchung den bürokratischen und firmen-politischen Diskussionen um die Behebung der entdeckten Probleme stellt.

Wer ethisch flexibler ist, dem winken auf dem Schwarzmarkt sechsstellige Beträge für das Finden von großen Sicherheitslücken in weit verbreiteter Software. Die fürstliche Entlohnung entschädigt für die Gewissenbisse, weil die entdeckte Lücke künftig nicht geschlossen, sondern von Kriminellen und/oder Geheimdiensten ausgenutzt wird. Letztere sind dabei die treibende Kraft hinter den hohen Preisen auf diesem moralisch verwerflichen Markt.

Hier gilt es, einen Riegel vorzuschieben: Die staatliche Subventionierung des Schwarzmarkts muss unterbunden, und alle staatlichen Stellen verpflichtet werden, beim Bekanntwerden von Sicherheitslücken kompromisslos auf ihre Beseitigung hinzuarbeiten – und nicht auf ihre Ausnutzung.

3) Eine offene Sicherheitskultur pflegen

Natürlich werden Sicherheitslücken nicht nur wegen kommerzieller Anreize entdeckt. Eine weltweite Community begeisterter Hacker, Nerds und Sicherheitsforscher/innen sucht, findet und beseitigt Sicherheitslücken ohne direkte monetäre Kompensation. Namentliche Erwähnungen in "Security Bulletins", die Nutzer auf Lücken und erhältliche Updates hinweisen, sind oft der einzige Dank, der ihnen für ihre Dienste an der Gemeinschaft zuteil wird.

Immer beliebter wird daher das Ausloben von "Kopfgeld" ("Bug Bountys") auf Sicherheitslücken in kritischer Open-Source-Software: Wer einen Fehler definierter Schwere findet, wird dafür entlohnt. Vom entstehenden Wettkampf der Forschenden profitiert die Allgemeinheit.

Um dies zu stärken, könnte das Bundesamt für Sicherheit in der Informationstechnik (BSI), sich an der Finanzierung dieser „Bug Bountys“ beteiligen und so Open Source Software sicherer machen.

4) Eine unabhängige Sicherheitspolitik ermöglichen

Mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) verfügt die Bundesregierung über eine Institution, die aktuell viele Möglichkeiten ungenutzt lässt, auf den überfälligen Paradigmenwechsel in der IT-Sicherheit hinzuwirken. Dem Verantwortungsbereich des Innenministeriums unterliegend, kann das BSI in seinen Empfehlungen, Spezifizierungen und Zertifizierungen nie wirklich frei agieren. Das mit einer staatlichen Abhörschnittstelle versehene und zusammen mit einem NSA-Dienstleister entwickelte De-Mail-System ist mit Fug und Recht zur Blamage für das BSI geworden.

Solange das BSI dem Innenminister untersteht, ist trotz aller Lippenbekenntnisse nicht damit zu rechnen, dass dort künftig Spezifikationen ohne absichtliche Design-Schwächen entwickelt werden. Ein starkes, unabhängiges BSI mit unzweideutigem Sicherheitsauftrag – und zwar auch gegen staatliche Angreifer – ist der einzige Weg, das notwendige Vertrauen im Bereich der IT-Sicherheit aufzubauen und Sicherheitsversprechen auch halten zu können.

2008 formulierte das Bundesverfassungsgericht das Grundrecht auf Gewährleistung Vertraulichkeit und Integrität informationstechnischer Systeme, das so genannte Computergrundrecht. Bisher haben staatliche Stellen nur halbherzige und unglaubwürdige Schritte zu seiner Sicherung unternommen. Das schockierende Ausmaß der Snowden-Enthüllungen ist eine direkte Folge der bisherigen Politik und ein weiteres Warnsignal an die Bundesregierung, die Sicherheit der Bürgerinnen und Bürger in Sachen Computernutzung und Kommunikation nicht unnötig der vermeintlichen Sicherheit des Staates zu opfern.

Creative Commons Lizenzvertrag Dieser Artikel steht unter einer Creative Commons Lizenz.
Weiterführende Links

Kommentare

(Staatlich finanzierte) Bugbounties dürften zu einem neuen Markt führen. Weissgepinselte Blackhats heuern sich austauschbare open-source-Programmierer, die Bugs einbauen, die dann wenig später gegen Geld gefunden werden. Ein lukratives Auskommen.

Hier wird wieder der Augenmerk ausschließlich auf die SW gelegt.
Meines Erachtens fängt das Problem schon beim fehlenden Schreibschutz an!
Und bei den Betriebssystemen, und Usern die mit ROM nicht mehr klarkommen (wollen).

Was OpenSource bewirkt hat Heartbleed zwar nicht bewiesen, aber dennoch Lücken aufgewiesen. Ich halte weder den Weg über OpenSource noch freie Software für den richtigen. Gerade der freie Netzgedanke birgt enorme Gefahren von Backdoors der Entwickler. Hier muss auch die unternehmerische Unabhängigkeit gewahrt bleiben. Ein sehr schönes Beispiel findet sich aktuell auf Kickstarter: https://www.kickstarter.com/projects/imuniqe/officekey-imuniqe-the-immun....
Deren Ansätze und Haltung gefällt. Irgendwie nimmt das denen ab. Wirkt symphatisch.

Um kommerzielle Anbieter schneller zum Schließen von Sicherheitslücken zu bewegen, könnte man das Wettbewerbsrecht verschärfen. Ab einer gewissen Frist nach bekannt werden einer Sicherheitslücke, könnte das versäumte Schließen der Lücke, also die bewusste und/oder fahrlässige Gefährdung von Kunden, als unlauterer Wettbewerb gewertet werden. Das hätte den angenehmen Nebeneffekt, dass sich Unternehmen gegenseitig mehr auf die Finger sehen. Schließlich wäre in diesem Zusammenhang ein Verkaufsverbot als Ultima ratio denkbar.

Ein paar interessante Betrachtungen zu den Gefahrengattungen. Bin aber vom Verhältnis zwischen einerseits der Einleitung, die die Präsentation politischer Lösungen ankündigt (und Vorfreude auf neue Ideen auslöst), und andererseits dem Inhalt, der als politische Lösung im Wesentlichen nur ein unabhängiges BSI fordert, ein bisschen enttäuscht. Der Vorschlag, den Schwarzmarkt trocken zu legen, entspricht in etwa dem Vorschlag, den Drogenmarkt trocken zu legen. Opensource ist sicher Bestandteil der Lösung, jedoch was bringt es, den Rechner völlig abzusichern, wenn man zwischen den Rechnern, also auf den Netzen, nackt unterwegs ist?

Mir geht den deutschen Kommentatoren auch der ständige Ruf nach der Politik und die Unterstellung, dass sie gegen die Bürgerinteressen handele, zu leicht und gebetsmühlenartig von der Hand.

Was kann die Politik richten, wenn immer wieder Studien zeigen, dass etwa der deutsche Mittelstand IT-Sicherheitsfragen locker sieht - und zwar nicht immer aus Blauäugigkeit, sondern teils ganz bewusst, aus einer Kosten-Nutzen-Rechnung heraus? Warum soll die Politik das Privatleben der Bürger schützen, wenn diese millionenfach intime Details desselben im Internet nach außen kehren, um durch Selbstentblößung auch ihren Anteil an der aktuellen Aufmerksamkeitsökonomie zu haben, und viele dabei den Internetkonzernen nach dem Mund reden und Privatsphäre als altmodisch verschreien?

Es gibt keine Sicherheit ohne persönliches Sicherheitsbewusstsein. Ihre Fenster und Türen schließen die Leute ja auch ab, um sich vor physischem Einbruch zu schützen. Wenn man ihnen immer wieder in den Medien sagt, wie sie ihre Kommunikationstechnik und -Gewohnheiten absichern können, diese bereits existierende Informationsfülle von den Adressaten aber ignoriert wird, kann die Politik nur alles falsch machen: Entweder schützt sie die Bürger vor sich selbst und behandelt sie somit wie Mündel, oder sie betrachtet sie als mündige Menschen, überlässt ihnen die Verantwortung für ihre Kommunikation, und wird mit Unterlassungslamentationen überzogen - die sich im Fall dieses Artikels zum Glück ja noch sehr moderat gestalten.

Postbriefe schicken, Gespräche von Angesicht zu Angesicht führen, Zeitung lesen statt Interessenbereiche durch Surfverhalten preisgeben - vielleicht ist Altmodisch bald das neue Modern?

"Sichere Kommunikation braucht politische Lösungen"
ha
"Die Politik" ist doch Ursache massiver Überwachung. Während dir jemand in die Tasche greift, redest du mit deinem Nachbarn darüber, dass der Dieb das Stehlen untersagen sollte, bald, vielleicht.

Ohne direkte Demokratie tanzen die Politiker immer auf unseren Köpfen herum und lachen uns aus. Dass es außer den (tonangebenden) Politikern noch andere Diebe gibt, ist erst der 2. Schritt.

Neuen Kommentar schreiben