Staatliches Hacken in Deutschland Öffentliche Sicherheit kontra IT-Sicherheit

Der Einsatz des “Bundestrojaners”, der Hack des Telegram-Messengers und der derzeit kolportierte “Hackback” zeigen, dass der Staat gewillt ist zur vermeintlichen Herstellung der Öffentlichen Sicherheit - unter Zuhilfenahme von Schwachstellen in IT-Produkten - zu hacken. Jedoch gefährdet er damit die IT-Sicherheit, nicht nur in Deutschland. Es braucht daher klare Regeln für den verantwortungsbewussten Umgang des Staates mit Schwachstellen in IT-Produkten.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Rapid7 Germany

TXOne Networks

Deutschland will hacken, das wurde spätestens mit der rechtlichen Ausweitung des Bundestrojaner-Einsatzes im Juni klar. Damit der Staat "erfolgreich” hacken kann, muss er Schwachstellen in IT-Produkten kennen. Eine Schwachstelle ist laut Bundesamt für Sicherheit in der Informationstechnik "ein sicherheitsrelevanter Fehler eines IT-Systems […]". Dafür wurde eigens im April dieses Jahres die neue Zentrale Stelle für Informationstechnik im Sicherheitsbereich, kurz ZITiS, durch das Bundesministerium des Innern geschaffen. ZITiS soll unter anderem staatliche Akteure mit notwendigem Wissen und Fähigkeiten versorgen, um verschlüsselte Nachrichten lesen und auf Smartphones zugreifen zu können. Ein kleiner Teil des gerade in Betrieb genommenen Bundeswehr Kommandos "Cyber- und Informationsraum" sowie das Bundeskriminalamt, der Verfassungsschutz und der Bundesnachrichtendienst sind potenzielle Abnehmer von ZITiS. Der BND ist hiervon bisher jedoch explizit ausgenommen.

Es ist nichts Neues, dass Sicherheitsbehörden und Geheimdienste Schwachstellen für sich behalten, um diese dann gegen ihre in- und ausländischen Ziele nutzen zu können. Wenn Behörden das Wissen um Schwachstellen für sich behalten, bedeutet dies aber auch, dass der Hersteller diese nicht beheben kann und unter Umständen weltweit eine große Anzahl von Geräten angreifbar bleibt für Dritte, die dieselben Schwachstellen für ihre Zwecke ausnutzen. In den letzten Monaten wurde in diesem Zusammenhang viel über die amerikanischen Dienste CIA und NSA berichtet, deren Vorrat an Schwachstellen durch Wikileaks und The Shadow Brokers öffentlich gemacht worden war. Zwei dieser Schwachstellen erlangte traurige Bekanntheit als Kernelement der WannaCry und NotPetya Schadsoftware-Epidemien. Auch im aktuellen Fall der BadRabbit-Ransomware scheint eine dieser Schwachstellen ausgenutzt zu werden. Die Schwachstellen ermöglichten es innerhalb kürzester Zeit weltweit Schadsoftware zu verbreiten und einen immensen Schaden anzurichten. Anstatt dem Hersteller des IT-Produktes diese Schwachstelle mitzuteilen, damit dieser sie beheben kann, entschieden sich die amerikanischen Dienste dafür, diese Informationen für sich zu behalten und sie erst mit dem Hersteller zu teilen, nachdem sie bereits entwendet worden waren. Denn leider waren offenbar selbst die mächtigsten Geheimdienste der Welt nicht in der Lage, ihr Wissen über diese Schwachstellen ausreichend zu schützen.

ZITiS: 400 Mitarbeiter geplant

BMI-Dienstleister für Cybersecurity nimmt Arbeit auf

Diese Ereignisse zeigen eindringlich, dass es sich beim Zurückhalten von Schwachstellen um ein zweischneidiges Schwert handelt. Der Staat kann sie gegen Kriminelle und ausländische Mächte einsetzen, aber jeder andere der sie kennt kann sie auch gegen den Staat und seine Bürger einsetzen. Aus diesem Grund muss der Staat abwägen, welche Schwachstellen er "für sich" behält und welche er an den Hersteller und die nationale Cyber-Sicherheitsbehörde weitergibt, damit sie behoben werden können. Zum Beispiel könnte man sich dafür entscheiden nur die Schwachstellen zu nutzen, die dem jeweiligen Hersteller bereits bekannt sind aber die trotzdem oft noch erfolgreich ausgenutzt werden können, weil sie auf den Geräten der Benutzer noch nicht gepatcht sind. Aber wer übernimmt hier die Verantwortung? Wer kontrolliert? In Deutschland: bisher niemand.

Wer als Staat verantwortungsvoll hacken will, braucht ein IT-Schwachstellenmanagement. Deutschland stellen sich dabei eine Reihe von Fragen, die kritisch diskutiert werden müssen. Ein verantwortungsbewusstes Schwachstellenmanagement besteht aus verschiedenen Phasen (Beschaffung, Bewertung und Abwägung, Verwendung und Sicherung), involviert alle beteiligten Behörden und ist mit einer Tendenz zur verantwortungsbewussten Offenlegung für die Behebung der Schwachstellen konzipiert.

Es fängt bei der Beschaffung an. Natürlich wäre es ärgerlich wenn ZITiS und Bundeswehr die gleiche Schwachstelle doppelt einkaufen. Viel schlimmer ist es aber, wenn der Kauf eines solchen Produkts mit dem Geld deutscher Steuerzahler gleichzeitig einen Markt befördert, der auch dafür verantwortlich ist, dass andernorts Journalisten und Menschenrechtler bespitzelt werden können. Sicherheitslücken werden nicht nur von Staaten zur Strafverfolgung o. ä. ausgenutzt, sondern - neben Kriminellen - auch von autoritären Staaten zur Ausspähung von politischen Gegnern. Diese Staaten kaufen ihre Schwachstellen auf dem gleichen Markt und unter Umständen bei denselben Firmen wie unsere Behörden. Hier braucht es verbindliche ethische und rechtsstaatliche Rahmenbedingungen für die Beschaffung.

Bei der Abwägung, inwieweit eine gefundene oder gekaufte Schwachstelle behalten oder zum Beheben weitergegeben werden sollte, müssen unter anderem Antworten auf folgende Fragen gefunden werden: Kann die Schwachstelle über das Internet weltweit ausgenutzt werden oder braucht man physischen Zugriff auf das Smartphone oder den Laptop? Findet sich die Schwachstelle in IT-Systemen kritischen Infrastrukturen wie einem Umspannwerk oder existiert sie "nur" in bestimmten Consumer-Produkten, wie dem vernetzten Kühlschrank? Ist es eine bisher bereits bekannte oder eine unbekannte Schwachstelle? Im letzteren Fall: Wie wahrscheinlich ist es, dass bereits andere Akteure Kenntnis von dieser Schwachstelle haben und sie gegen Ziele in Deutschland verwenden könnten? Am Ende der Bewertung steht die Abwägung darüber, ob der Staat die Schwachstelle erst einmal für sich behalten will, um sie zukünftig bei der Strafverfolgung sowie für nachrichtendienstliche und militärische Operationen auszunutzen, oder ob die Schwachstelle an den Hersteller und die nationale Cyber-Sicherheitsbehörde weitergegeben werden sollte. Ziel sollte es hierbei sein, so wenige Schwachstellen wie nötig zurückzuhalten. Der Grund dafür ist einleuchtend und führt uns zurück zu WannaCry,NotPetya und BadRabbit: Der Staat will Schwachstellen zurückhalten um sie im Namen der öffentlichen Sicherheit einzusetzen. Gleichzeitig können so zurückgehaltene Schwachstellen aber nicht sinnvoll behoben werden und gefährden möglicherweise die öffentliche Sicherheit, welche eigentlich verbessert werden sollte. Es handelt sich hierbei um nicht weniger als eine Frage der nationalen Sicherheit, oder um es mit den von Benjamin Franklin inspirierten - aber falsch kolportierten - Worten zu sagen: Wer Cyber-Sicherheit aufgibt, um öffentliche Sicherheit zu gewinnen, wird am Ende beides verlieren.

Sollte eine Abwägung zu dem Schluss kommen, dass eine Schwachstelle (temporär) zurückgehalten wird, sind drei Aspekte unverzichtbar: ein "Mindesthaltbarkeitsdatum", eine sichere Verwahrung und Rechenschaft darüber, wenn diese Schwachstelle erfolgreich gegen deutsche Ziele eingesetzt wird. Periodisch sollte die Bewertung der Schwachstelle überprüft werden, um zum Beispiel sicher zu stellen, dass kein anderer Akteur Kenntnis von ihr hat. Eine neuerliche Evaluierung sollte spätestens nach dem Einsatz einer Schwachstelle durchgeführt werden. Zusätzlich muss das Wissen um die zurückgehaltenen Schwachstellen geschützt werden. Der Staat muss in der Lage sein, die zurückgehaltenen Schwachstellen auch zu schützen. Was passiert wenn der Staat dazu nicht in der Lage ist, konnte man bei den bereits genannten Leaks der "Cyber-Arsenale" von CIA und NSA durch Wikileaks und The Shadow Brokers beobachten.

Es ist sicherlich sinnvoll, dass es mit ZITiS eine Institution gibt, die sich zentral um die Beschaffung von Schwachstellen und die Vermittlung von Expertise kümmern soll. Konterkariert wird dies jedoch durch das Fehlen eines verantwortungsvollen Schwachstellenmanagements, den Mangel von IT-Fachkräften in der öffentlichen Verwaltung, sowie der Ausnahme bestimmter Teilnehmer, wie etwa dem Bundesnachrichtendienst, von dem Prozess. Gleichzeitig ist unklar, welchem Kontrollgremium ZITiS unterstellt ist und welche Transparenzanforderungen es erfüllen soll. Es muss einen Management-Prozess einschließlich sinnvoller Kontrolle und Transparenzvorgaben geben, der Cyber-Sicherheit als hohes Gut ansieht. Wir können hier unter anderem von den - guten und schlechten - Erfahrungen des Vulnerabilities Equity Prozesses (VEP) aus den USA lernen.

Über den Autor: Dr. Sven Herpig leitet bei der Stiftung Neue Verantwortung das Transatlantic Cyber Forum, ein intersektorales Expertennetzwerk zur Cybersicherheits- und -verteidigungspolitik. Er war vorher beim Bundesamt für Sicherheit in der Informationstechnik und dem Auswärtigen Amt tätig. Die Stiftung Neue Verantwortung ist eine unabhängige Denkfabrik, die konkrete Ideen entwickelt, wie die deutsche Politik den technologischen Wandel in Gesellschaft, Wirtschaft und Staat gestalten kann.

(ID:44927659)