Zwischen Realität und Inszenierung

IT-Systeme von Behörden und Unternehmen werden immer häufiger angegriffen. Im Iran hat ein Virus sogar Uranzentrifugen zerstört: Ist ein Cyberwar realistisch oder Panikmache der Medien?

Johannes Lynker: Cyberwar ist definitiv ein realistisches Szenario. Cyberangriffe werden als Teil der asymmetrischen Kriegsführung eingesetzt, um konventionelle Angriffe in kriegerischen Auseinandersetzungen zu unterstützen. Eine Gefahr für die westliche Welt oder Deutschland sehe ich aber nicht. Voraussetzungen für einen Cyberwar wären, dass feindliche Akteure ausreichend Fähigkeiten und Ressourcen hätten, um Angriffe zu starten, die tatsächlichen Schaden anrichten könnten. Außerdem müsste ein zwischenstaatlicher Konflikt vorhanden sein, der auch in einer konventionellen kriegerischen Auseinandersetzung münden könnte. Beides trifft meiner Meinung nach nicht zu.

Dennoch wird die Bedrohungslage sehr ernst genommen, weil es offenbar schwer ist, komplexe IT-Systeme auch mit komplexen Sicherheitsmechanismen zu versehen. Woran liegt das?  

Lynker: Da gibt es grundsätzlich zwei Probleme. Erstens sind Angriffe auf IT-Systeme vielfältig, wie Spionage zur Informationsbeschaffung, Manipulation von Daten oder deren Zerstörung. Vorstellbar wären Angriffe auf die Steuereinheit eines Atomkraftwerks oder die Server globaler Börsen und Handelsplätze. Das zweite Problem ist, dass moderne IT-Infrastruktur vernetzt funktioniert. In Netzwerken werden Daten und Informationen getauscht, was einen Mehrwert in der realen Welt erzeugt. Angriffe im Cyberraum können deswegen auch vernetzt funktionieren. Ein Angriff auf das schwächste Glied kann dazu führen, dass alle weiteren Netzwerkteilnehmer zu Opfern werden.

Wie kann man sich davor schützen?

Lynker: Komplexe Sicherheitsmechanismen können ein Schutz vor Angriffen sein, doch sie werden durch die Fähigkeiten und Ressourcen der Angreifer herausgefordert. Ist der Wert eines Angriffs so hoch, dass es sich lohnt, große Ressourcen zu investieren, wird dieser Angriff mit Sicherheit erfolgreich sein. Nur, wer diese Technik nicht benutzt, wäre hundertprozentig sicher vor Angriffen.

Wie müssen Regierungen und Unternehmen dann mit dem Sicherheitsrisiko umgehen? 

Lynker: Sicherheit ist in vielen Fällen nicht die erste Priorität bei der Softwareentwicklung. Umfangreiche Funktionen und einfache Bedienung sind die essenziellen Faktoren für den kommerziellen Erfolg. Außerdem beinhaltet komplexe Software oft viele Millionen Zeilen Programmiercode, die von global vernetzten Teams in Schichtarbeit erstellt wird. Die Wahrscheinlichkeit ist sehr hoch, dass bei dieser Arbeitsweise Sicherheitslücken auftreten können.
Für Unternehmen und Regierungen ist die wichtigste Maßnahme sogenannte Resilienzkonzepte zu erarbeiten. Das bedeutet, schlüsselfertige Konzepte und Prozeduren in der Hinterhand zu haben, um auch im Falle eines Angriffs die Handlungsfähigkeit aufrechtzuerhalten und das System schnellstmöglich wieder einsatzbereit zu machen.

Die deutsche Regierung hat ein Cyber-Abwehrzentrum eingerichtet. Wie beurteilen Sie das?

Lynker: Die Einrichtung des Cyber-Abwehrzentrums ist in erster Linie eine Maßnahme, um das Problem politisch zu adressieren und dient weniger der operativen Sicherung von staatlicher Infrastruktur. Im Vergleich zu anderen Staaten hat Deutschland nur sehr beschränkte Offensiv- und Defensiv-Kapazitäten im Cyberraum und ist als hochtechnologisiertes Land mit starker Vernetzung enorm verwundbar. Um dieses Problem anzugehen, und gleichzeitig ein globales Wettrüsten im Cyberraum zu vermeiden, sollten Deutschland und die EU gemeinsam konsolidierte Kompetenzen aufbauen. Nur so kann den Gefahren effektiv begegnet werden.

Haben Sie den Eindruck, dass Wissenschaftler in die Konzeption von Schutzmechanismen einbezogen werden?

Lynker: Meine bisherigen Recherchen zeigen, dass es von staatlicher Seite ein großes Interesse gibt, die eigene Expertise zu erweitern. Die Wissenschaft spielt dabei neben der Wirtschaft eine entscheidende Rolle. Zu bedenken ist, dass IT-Sicherheit ein großer Markt ist. Nicht nur Unternehmen, sondern auch Wissenschaftler können damit sehr gut verdienen. Man muss sich deshalb immer fragen: Wer profitiert davon, dass Cyberwar und Cybercrime zu großen Gefahren stilisiert werden.


Illustration: Bertram Rusch (Bild: howardkang/flickr.com)