Big Brother trifft auf digitale Welt IT-Security: Bedeutet „sicher“ auch „geheimdienstsicher“?

Spätestens seit den Enthüllungen von Edward Snowden über angezapfte Glasfaserkabel und diverse Spähprogramme der Geheimdienste werden Security-Paradigmen neu ausgelotet. Christian Heutger, Geschäftsführer beim Internet-Security-Spezialisten PSW Group, legt seine Ansichten zu diesem schwierigen Thema dar.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Release-Net OHG

Security-Insider: Während in Deutschland über Vorratsdatenspeicherung hitzig debattiert wird, scheint es in den USA gängige Praxis zu sein, Kommunikationsdaten zu speichern. Allerdings liegt es in der Natur der Geheimdienstarbeit, dass Details im Verborgenen bleiben. Wie schätzen Sie die Gemengelage ein: Was wird überwacht, gespeichert, ausgewertet?

Heutger: Die meisten großen US-Provider sind spätestens seit 2006 angehalten, kontinuierlich Daten zu speichern. Dazu zählen Telefon- sowie Internetverbindungsdaten. Das betrifft zunächst allerdings nur US-Bürger. Gespeichert werden diese Daten unbefristet. Die Europäer kommen dann mit dem Programm Tempora ins Spiel. Hier kooperieren die NSA und der britische Geheimdienst GCHQ miteinander. 200 Glasfaserkabel werden angezapft – wohl auch welche, die aus Deutschland kommen. Dabei werden die Inhalte der Kommunikation wie E-Mails bis zu drei Tage zwischengespeichert. Die Meta- beziehungsweise Verbindungsdaten werden sogar bis zu 30 Tage erfasst. Das ist problematisch, da mit diesen Informationen komplette Bewegungsprofile von Anwendern rekonstruiert werden können. Zudem kann nicht ausgeschlossen werden, dass Daten in Einzelfällen unbegrenzt gespeichert werden. Denn was die jüngsten Enthüllungen doch zeigen ist, dass sich die Geheimdienste offenbar selbst jeder wirksamen, parlamentarischen Kontrolle entziehen.

Security-Insider: Zuletzt kam im Zuge der Snowden-Enthüllungen das „Projekt Bullrun“ ans Tageslicht, das „Decryption-Program“ der NSA, das offenbar sogar SSL-Verschlüsselung knacken kann. Welche gesicherten Informationen gibt es darüber und was bedeutet das für die PSW Group, die SSL-Zertifikate im Produktportfolio hat?

Heutger: In diesem Zusammenhang war in Medien tatsächlich zwischenzeitig die Rede von einem Generalschlüssel, über den die Geheimdienste angeblich SSL-Kommunikation ausspähen könnten. Diese Darstellung darf bezweifelt werden. Anstatt dessen wäre es aber durchaus denkbar, dass SSL-Zertifizierungsstellen mit Sitz in den USA eigene Root-Schlüssel oder Zwischenzertifikate an Behörden herausgeben, um darüber Man-in-the-Middle-Attacken auf den geschützten Datenaustausch zu ermöglichen. Für ein solches Szenario gibt es aber keine gesicherten Informationen. Es ist unserer Einschätzung nach zudem unwahrscheinlich, dass sich die wichtigsten, großen Zertifizierungsstellen der USA darauf einlassen würden. Deren SSL-Zertifikate würden als kompromittiert gelten und daraufhin von den gängigen Webbrowsern nicht mehr unterstützt. Zudem gibt es SSL-Zertifizierungsstellen außerhalb des Einflusses der USA wie beispielsweise SwissSign – aus der Schweiz. Also: Bei den SSL-Zertifikaten gibt es europäische Alternativen, um die Online-Kommunikation abzusichern.

Security-Insider: In einem Statement von Ihnen heißt es „Auch Deutschland gehört zu den Ländern, die für die NSA besonders interessant sind: Bis zu 500 Millionen Datensätze über die Internet- und Telefonnutzung werden pro Monat gesammelt!“ Wie gesichert sind solche Angaben?

Heutger: Da sich die Datenspione – in diesem Fall die Geheimdienste von USA und Großbritannien – bedeckt halten und sich die Regierungen beider Länder nicht gerade kooperationswillig zeigen, lassen sich derartige Angaben nur schwerlich gegenprüfen. Nach allem, was wir über den Umfang der Programme Prism und Tempora wissen, erscheint die Zahl jedoch realistisch.

Lesen Sie auf der nächsten Seite mehr über die Problematik der Wirtschaftsspionage.

Security-Insider: Wie würden Sie die Gefahr einschätzen, dass seitens ausländischer Geheimdienste konkrete Wirtschaftsspionage hier in Deutschland betrieben wird – immerhin besteht dazu teilweise ein gesetzlicher Auftrag?

Heutger: Es ist Fakt, dass ausländische Geheimdienste in Deutschland Wirtschaftsspionage betreiben. Das Bundesamt für Verfassungsschutz aber auch das Bundeskriminalamt dokumentieren seit Jahren solche Vorfälle. Dass solche Attacken auch von politisch Verbündeten ausgehen, gibt dem Problem nun natürlich noch einmal eine vollkommen neue Dimension. Bisher standen eher Länder wie China im Verdacht, im großen Stil zu spionieren. Im Übrigen steht nicht nur die Wirtschaft im Fokus, sondern auch die Politik. So wurden in den vergangenen Jahren beispielsweise mehrfach Angriffe auf Computersysteme der deutschen Bundesregierung bekannt.

Security-Insider: Die PSW Group ist ein Dienstleister für Internet-Lösungen mit Schwerpunkt auf Security-Aspekte. Laufen bei Ihnen jetzt die Telefone heiß?

Heutger: Wir spüren im Zuge der jüngsten Enthüllungen schon eine Verunsicherung auf Seiten von Unternehmen und Anwendern. Der Beratungsbedarf ist hier sicherlich gestiegen.

Security-Insider: Mal ganz fatalistisch gefragt: Ist es nicht ein Kampf gegen Windmühlen, wenn man sich mittels kryptografischer Methoden vor Überwachung schützen will? Ich spreche von angezapften Glasfaserkabeln, einem regen Datenaustausch unter Geheimdiensten, Möglichkeiten SSL-Verschlüsselungen zu knacken, herstellerseitig eingebauten Backdoors in verschiedenen Hard- und Software-Produkten et cetera…

Heutger: Nein. Sich zu schützen, ist immer besser, als sich nicht zu schützen. Datenspionen – unabhängig in wessen Auftrag diese handeln – sollte es möglichst schwer gemacht werden, Daten abzufangen. Selbst Edward Snowden rät zum konsequenten Verschlüsseln, weil es etwas bringt. Und ganz entscheidend: Es gibt auch immer Alternativen zu Herstellern in den USA. Europäischen Hardware- und Software-Produzenten kann man nicht per se unterstellen, dass auch sie entsprechende Backdoors in ihre Produkte integrieren. Gerade in Deutschland herrscht ein vollkommen anderes Klima und Rechtsverständnis, was solche Dinge betrifft.

Security-Insider: Was halten Sie von Bestrebungen nach „Cloud-Lösungen made in Germany“ oder einer „United Cloud of Europe“? Hintergrund meiner Frage ist folgender: In Hinblick auf den Gerichtsstand mögen so zwar rechtliche Verpflichtungen wie durch den „Patriot Act“ zur Kooperation mit Geheimdiensten auszuschließen sein, aber das Internet ist international. Wenn Sie eine Mail von München nach Hamburg schicken, kann es sein, dass die Daten einen Umweg über den großen Teich machen. Bedenkt man das, verlieren Zusicherungen der Politik wie „in Deutschland werden keine Datenschutzrechte gebrochen“ an Zugkraft.

Heutger: Lokale Cloud-Lösungen erscheinen natürlich interessant, wobei auch hierzulande die entsprechenden Voraussetzungen für diese geschaffen werden müssen. Sprich: passende Sicherheitsmaßnahmen und Standards, die die hohen Vorgaben des deutschen Gesetzgebers in punkto Datenschutz gewährleisten. Hierzu zählt beispielsweise, den Datenverkehr auf möglichst direkten Wegen laufen zu lassen und flankierend entsprechend sichere Verschlüsselungsverfahren einzusetzen. Von der Vorstellung, Traffic innerhalb von Landesgrenzen zu belassen, darf man sich hierbei jedoch nicht leiten lassen. Dies ist schlicht unmöglich und nicht effektiv.

(ID:42325201)