Blitz und Donner in der Matrix

Seit Jahren wird, bisweilen hitzig, über die Möglichkeit eines „Cyber-Terrorismus“ diskutiert. Angreifer könnten das Internet nutzen, um kritische Infrastrukturen – Wasser- und Energieversorgung oder Transportsysteme – empfindlich zu stören oder gar lahmzulegen, heißt es immer wieder. Kritischere Köpfe halten dem entgegen, dass es sich eher um eine Beschwörung von Politik und Sicherheitsbehörden handelt, die nur dazu dient, neue Kontrollmechanismen einführen zu können. Wo sind die Fakten, fragen sie?

Auf der letzten DefCon im August 2007 wirbelte Ganesh Devarajan von der US-Firma Tipping Point Staub auf, als er die so genannten SCADA-Systeme als Einfallstor für Angriffe auf die Infrastruktur darstellte. SCADA steht für „Supervisory Control and Data Acquisition“ und bezeichnet die Software-Steuerung von technischen Anlagen, zum Beispiel in den Kraftwerken von Energieversorgern. Devarajans Ausführungen wurden in der Blogosphäre sogleich als Quatsch abgetan. Der Mann wisse gar nicht, wovon er spreche.

Umso erstaunlicher war die Aussage des CIA-Mitarbeiters Tom Donahue, der vor einer Woche auf einer Konferenz einräumte, solche Angriffe hätten bereits stattgefunden. "Wir haben Informationen, dass Cyber-Angriffe dazu genutzt worden sind, um die Energieversorgung in verschiedenen Regionen außerhalb der USA zu stören." In mindestens einem Fall sei es in mehreren Städten zu Stromausfällen gekommen. Details nannte er natürlich nicht.

Man kann zwar davon ausgehen, dass dieses Statement nicht ohne politische Hintergedanken platziert wurde. Aber auf die leichte Schulter sollte man es vielleicht doch nicht nehmen. Wie viele andere Datenprozesse werden auch SCADA-Systeme zunehmend auf die Verwendung von Standard-Protokollen wie TCP oder IP umgestellt. Vor allem aber wird die Anbindung von Netzwerken auch von Infrastrukturunternehmen ans Internet deutlich zunehmen. So soll etwa das „Smart Metering“ die Energieversorgung effizienter zu machen: „Intelligente“ Stromzähler beim Endverbraucher sollen den Energieversorgern in Echtzeit ein genaues Bild über den Verbrauch vermitteln, um die Stromlasten möglichst genau berechnen zu können.

Ich kann mir beim besten Willen nicht vorstellen, dass diese Daten bei irgendwelchen Mitarbeitern einlaufen, die sie dann mühsam in ein physisch getrenntes Firmennetz eintippen. Haben wir nicht oft genug gehört, dass es höchste Zeit sei, solche „Medienbrüche“ in der digitalisierten Wirtschaft systematisch auszumerzen – um Kosten zu sparen und die Effizenz zu erhöhen?

Hier ist ein lesenswertes Gespräch zwischen den IT-Sicherheitsexperten Bruce Schneier und Marcus Ranum höchst interessant, das in der Dezember-Ausgabe des Information Security Magazine erschienen ist (und auf Schneiers Website dokumentiert ist). Darin diskutieren die beiden, wie sich die IT-Sicherheit in den nächsten zehn Jahren entwickeln wird. Um das Fazit vorwegzunehmen: nicht gut.

Ranum, der nach eigenem Bekunden die Konzepte Cyber-Krieg und Cyber-Terrorismus bislang als ziemlich aufgebauscht betrachtete, hat in dem Gespräch seine Meinung „offiziell“ geändert: „Ich glaube, dass es zunehmend wahrscheinlicher wird, dass wir bis 2017 einige katastrophale Systemfehler erleben. Noch wahrscheinlicher, wir werden von einem fürchterlichen Systemausfall betroffen sein, weil irgendein kritisches System mit einem nicht-kritischen verbunden war, das mit dem Internet verbunden wurde, damit irgendjemand an MySpace herankommt – und dieses Hilfssystem wird von Malware infiziert.“ Bereits der große Stromausfall in den nordöstlichen USA und in Ost-Kanada 2003 wurde durch einen Softwarefehler ausgelöst – und dabei spielte die Vernetzung von IT-Systemen noch gar keine Rolle.

Auch Schneier, der bisher nicht als Kassandra aufgefallen ist, schlägt pessimistische Töne an: „Komplexität ist der schlimmste Feind der Sicherheit, und das Internet wird immer komplexer. Die Dinge werden schlimmer, obwohl die Technologie besser wird.“ Das Problem sind für Schneier nicht so sehr schlampig programmierte Software oder nachlässig ausgeführte Sicherheitspatches. Weil IT-Systeme und Infrastruktur mehr und mehr miteinander verwoben würden, entstünde Unsicherheit quasi als emergente Eigenschaft der IT-Welt.

Was mich an dem Gespräch überrascht hat, war nicht die Diagnose an sich, sondern das Deja-Vu: All das hat der oft genug belächelte Joseph Weizenbaum – der nun wirklich eine Kassandra ist – bereits vor langer Zeit gesagt, aber wohl nicht pointiert genug (vielleicht auch weil er nicht mit Datenprotokollen und konkreten Software-Architekturen argumenterte). In dem Interviewband „Kurs auf den Eisberg“ von 1987 hat Weizenbaum einen hüschen Vergleich für die sich ausweitenden und immer unüberschaubareren IT-Systeme gefunden: Sie erinnerten ihn an die „Hütten in Rio de Janeiro“. „Sie denken an die Favelas?“ fragte der Interviewer, und Weizenbaum antwortete: „Ja, die hängen so an- und übereinander in wirrem Durcheinander.“

Wenn wir Schneier, Ranum und Weizenbaum folgen, sind wir seit Jahren dabei, Wirtschaft und Gesellschaft in ein digitales Ökosystem einzubetten, das wir nicht verstehen, weil es quasi naturwüchsig wuchert. Das wird uns – zusätzlich zum Klimawandel – Unwetter der ganz anderen Art bringen: Blitz und Donner in der Matrix gewissermaßen.

Wir könnten das natürlich optimistisch angehen und sagen, dass auch Schneier und Ranum allmählich alt werden. Aber ich glaube, wir würden uns damit nur in die Tasche lügen. Was folgt daraus? Lässt sich das Problem mit besserer Technik lösen? Oder mit einem „Software-Stalinismus“? Keine Ahnung.

Einen Trost hält Schneier immerhin bereit: Terroristen werden nicht unser Problem sein. „Mit so einer Infrastruktur – wer braucht da noch Feinde?“ (wst)