IT-Sicherheit als nationale Aufgabe
Die Bundesregierung will mehr IT-Sicherheit für kritische Infrastrukturen und sieht Deutschland als Vorreiter bei der Standardisierung der neuen Biometrie-Pässe. Der BSI-Kongress überraschte auch mit neuer Sicherheitstechnik.
- Christiane Schulzki-Haddouti
Gleich zum Auftakt des 9. Deutschen IT-Sicherheitskongresses des Bundesamts für Sicherheit in der Informationstechnik (BSI) kündigte Bundesinnenminister Otto Schily einen „Nationalen Plan zum Schutz der Informationsinfrastrukturen in Deutschland“ an. Der Plan werde unter der Federführung des Bundesinnenministeriums gemeinsam mit dem BSI erarbeitet.
Schilys Ankündigung überraschte selbst Eingeweihte, denn der Plan soll im Bundeskabinett erst nach der Sommerpause vorgestellt werden. Ob es dazu aufgrund der vorgezogenen Bundestagswahlen noch kommen wird, ist nun allerdings fraglich. Gleichwohl wird das Thema „Kritische Infrastrukturen“ angesichts der sich verschärfenden Gefährdungslage auch eine neue Regierung beschäftigen.
„Neue Strategien zur Bekämpfung von Angriffen von Hackern und Viren“ fordert Schily - sowohl für private Anwender wie für Unternehmen und Behörden. IT-Sicherheit soll nicht mehr allein die private Angelegenheit von Unternehmen sein, sondern Bestandteil der nationalen Sicherheit werden. Der Plan, so Schily, sehe „klare Vereinbarungen für die hierfür notwendige Aufgabenbewältigung“ vor sowie „Maßnahmen zur wirkungsvollen Reaktion“ bei IT-Sicherheitsvorfällen. Dafür will er dem BSI operative Aufgaben übertragen.
Das BSI soll außerdem ein IT-Krisenreaktionszentrum des Bundes aufbauen und mit den privaten Betreibern kritischer Infrastrukturen aus dem Energiesektor, dem Finanz- und Versicherungswesen, dem Transport- und Versorgungssektor, dem Notfall- und Rettungswesen, dem Gesundheitswesen und der öffentlichen Verwaltung eng zusammenarbeiten. In Deutschland sind vier Fünftel der kritischen Infrastrukturen in privatwirtschaftlicher Hand. Schily will mit den Betreibern „in der nächsten Zeit zu belastbaren und verbindlichen Vereinbarungen gelangen.“ Gesetzliche Veränderungen schloss er nicht aus - denn nach geltender Gesetzeslage darf das BSI selbst nicht operativ tätig werden.
BSI-Präsident Udo Helmbrecht erklärte, das BSI werde zur „vierten Säule“ der inneren Sicherheitsarchitektur neben Verfassungsschutz, Bundesgrenzschutz und Bundeskriminalamt ausgebaut. Inwieweit es wie die Datenschützer Kontrolltätigkeiten und Berichtspflichten übernehmen wird, ist noch unklar. Auch die Datenschützer beraten Unternehmen im Rahmen eines umfassenden Datenschutzkonzepts hinsichtlich ihrer IT-Sicherheit.
Schily betonte in seiner Rede auch, dass die staatliche Unterstützung der deutschen IT-Industrie wichtig sei, um internationale Standards setzen zu können. „Um uns langfristig schützen zu können, brauchen wir vertrauenswürdige IT-Produkte und Dienstleistungen von Anbietern in Deutschland“, betonte er. Vor allem bei der Entwicklung der neuen biometrischen Reisepässe in der Europäischen Union setzt das Innenministerium auf die Vorreiterrolle Deutschlands.
Basic Control
„Ziel ist es, deutsche Technologie in den Weltmarkt zu bringen“, sagte auch BSI-Präsident Helmbrecht. Er erklärte, dass das BSI in enger Zusammenarbeit mit der Industrie mit kryptographischen Zugriffskontrollen grundlegende Prinzipien der Datensicherheit und des Datenschutzes bei der internationalen Standardisierungsbehörde für Reisepässe, der International Civil Aviation Organisation (ICAO), durchsetzen konnte. Erst Anfang Mai verkündeten die USA, das Sicherheitskonzept der „Basic Access Control“ [1, 2] zu übernehmen, nachdem sie noch vor einem Jahr in den ICAO-Gremien Pass-Prototypen vorgestellt hatten, die sich völlig ungesichert aus der Hosentasche auslesen ließen. Mit der „Basic Access Control“ sollen die Daten im RF-Chip des Passes vor unberechtigten Zugriffen wie heimliche Kontrollen oder Identitätsdiebstahl geschützt werden. Dabei muss das Lesegerät auch optischen Zugriff auf die Datenseite des Reisepasses haben.
Für den Bundesdatenschutzbeauftragten Peter Schaar bietet die „Basic Access Control“ keinen ausreichenden Schutz. Als Beispiel führte er die WM 2006 an. Die Ticketbesteller müssen Namen, Geburtsdatum, die Passnummer und das Ausstellungsdatum des Dokuments angeben. „Aus diesen Angaben ergeben sich die Sicherheitsmerkmale, die für den Schlüssel genutzt werden“, sagte Schaar.
Einen besseren Zugriffsschutz soll die „Extended Access Control“ bieten, die für das Auslesen von Pässen, in denen auch Fingerabdrücke gespeichert sind, vorgesehen ist. Der Zugriffsschutz soll mit einem „neuen, stärkeren Sitzungsschlüssel“ arbeiten. Laut BSI kann der Passaussteller auf der Basis politischer Vereinbarungen festlegen, ob ein anderes Land die biometrischen Merkmale auslesen darf. In der Praxis sollen die Lesegeräte mit einem eigenen Schlüsselpaar und einem vom RF-Chip verifizierbaren Zertifikat, das die Rechte exakt festlegt, ausgestattet werden.
Peter Schaar sieht darin zwar einen Fortschritt, wie gut dies Verfahren wirklich sei, müsse man aber noch überprüfen. Er bemängelte, dass die Bundesregierung noch immer Testergebnisse zur Biometrie nicht offen lege und damit keine offene Diskussion in der Wissenschaftscommunity ermögliche. Lediglich eine vor zwei Jahren vom Bundeswirtschaftsministerium in Auftrag gegebene Biometrie-Machbarkeitsstudie soll sich derzeit in Druck befinden. Die Ergebnisse des Biometrieprojekts BioPII sind bisher nicht veröffentlicht, obgleich der jetzt für November geplante Einführungstermin für die neuen Pässe immer näher rückt. Der Datenschützer fordert, dass die Bundesregierung endlich ein „verbindliches und überprüfbares Sicherheitskonzept“ vorlegt.
Datenschutz-Features
Thomas Löer, Gesamtprojektleiter für den EU-Biometriepass der Bundesdruckerei, trat auf einer Podiumsdiskussion datenschutzrechtlichen Bedenken entgegen [3]: Der Chip gebe bei jedem Lesevorgang jeweils andere Seriennummern heraus. Außerdem speichere die Bundesdruckerei alle personenbezogenen Daten nur für den Produktionszeitraum. Software-Updates für die Chips oder Manipulationen anderer Art seien nicht möglich. In einem Kongress-Beitrag schlug Willem Jonker vom niederländischen Philips Research Laboratory vor, das Problem doppelter Identitäten durch gefälschte Pässe mit Hilfe zentraler Hash-Tabellen, aber ohne zentrale Datenbanken zu lösen.
Trotz solcher Lösungsvorschläge ist die frühere Euphorie verflogen. Mit der Biometrie, so versprach Schily noch vor einiger Zeit, sollte eine sichere Identifizierung möglich sein. Nach zahlreichen, wenig ermutigenden Biometriestudien formuliert man nun etwas vorsichtiger: „Mit dem digitalen Merkmal des Gesichts soll die Bindung zwischen Person und Dokument erhöht werden“, erklärte BSI-Präsident Helmbrecht jetzt. Erleidet der Chip, auf dem die biometrischen Daten gespeichert sind, jedoch einen Defekt, so bleibt der Reisepass gültig, da das digitale biometrische Merkmal lediglich einen Mehrwert, ein „Add-on“ darstellen soll.
Auch Christoph Busch vom Fraunhofer-Institut für Graphische Datenverarbeitung (IGD) erklärte, die zweidimensionale Gesichtserkennung sei „nicht überwindungssicher“ und daher nur in überwachten Szenarien einsetzbar. Potenzial habe jedoch die dreidimensionale Gesichtserkennung. Um sie in der Praxis umzusetzen, müssen jedoch alle 6300 Passstellen in Deutschland mit entsprechenden Erfassungsgeräten ausgestattet werden.
Da das genaue Konzept immer noch nicht steht, sind auch die Kosten immer noch unklar. Das Büro für Technikfolgenabschätzung hatte Anfang 2004 in einer groben Schätzung einmalige Kosten von 670 Millionen Euro angesetzt, die jährlich 610 Millionen Euro Folgekosten nach sich ziehen.
Während die Einführung des biometrischen Passes zu einem höchstens geringen Sicherheitsgewinn für alle führt, stärkt sie damit immerhin die deutsche IT-Sicherheitsindustrie: So eröffnet sich nicht nur ein großer Markt für die Hersteller von Lesegeräten, sondern dank ihres großen Einflusses auf die ISO-Standardisierung verbessern auch Infineon und Philips durch die erfolgreiche Standardsetzung ihre Position auf dem Weltmarkt für die Pass-Chips. Die beiden decken bereits jetzt 70 Prozent des Weltmarkts für Chips für kontaktlose Smartcard-Schnittstellen ab. Die Pass-Chips von Philips werden in Hamburg entwickelt, getestet und geprüft.
Speicheralternative
Um Daten sicher auf einer Karte speichern zu können, sind Chips jedoch nicht unbedingt nötig. Bayer Innovation, als Tochter-Firma des Pharmakonzerns Bayer eine Außenseiterin auf dem IT-Sicherheitsmarkt, sorgte auf der BSI-Tagung für eine weitere Überraschung. Sie stellte eine neue Speichertechnologie für Sicherheitsanwendungen namens Phenostor vor [4].
Bei dem analogen Hardware-Verschlüsselungs-Verfahren werden die Daten in einer durchsichtigen, orangefarbenen Plastikfolie holografisch gespeichert und mit Hilfe eines Lichtfilters ver- und entschlüsselt. Polarisierte Lichtstrahlen richten die Polymermoleküle im Speichermaterial dauerhaft aus. Die geordneten Polymerbereiche stellen Einsen, die ungeordneten Nullen dar.
Auf dem Medium von der Größe einer Kreditkarte lassen sich theoretisch Datenmengen bis zu mehreren Gigabyte unterbringen. Damit könnte sich Phenostor mittelfristig zu einer Konkurrenz für die herkömmliche Chipkartentechnik entwickeln. Mitte 2006 will Bayer Innovation Hologramme in der Größe mehrerer Megabyte auf der Karte unterbringen. Als Anwendung kommen beispielsweise Röntgenbilder in Frage, die auf einer Gesundheitskarte gespeichert werden sollen.
Die Anwendung kann so gestaltet werden, dass das Auslesen der Karte nur autorisiert erfolgen kann, etwa nachdem der Kartenbesitzer eine PIN oder ein biometrisches Merkmal in das Lesegerät eingegeben hat. Mit einem biometrischen Zugangskontrollsystem wird Bayer zusammen mit der Firma Byometrics Systems, die als lizenzierter Partner von Iridian Technologies auf Iriserkennung basierende Lösungen vertreibt, noch in diesem Jahr Seriengeräte für eine erste Anwendung vorstellen.
Mindestspeicherfristen
Jörg Ziercke, Präsident des Bundeskriminalamts (BKA), brachte auf der Tagung noch einmal ein weiteres heftig umstrittenes Thema aufs Tapet: Er forderte in seiner Rede die Einführung von Mindestspeicherfristen, da in der polizeilichen Praxis Verdachtsmomente häufig erst mit zeitlicher Verzögerung bekannt würden und die bei den Betreibern gespeicherten Verkehrsdaten oftmals der einzige erfolg-versprechende Ansatz seien, Täter bei schwersten Straftaten zu ermitteln.
Ziercke forderte auch gesetzliche Änderungen bei der Verschleierung von IP-Adressen durch Anonymisierungsdienste wie AN.ON von der Universität Dresden. Die Betreiber solcher Dienste sollten die Verkehrsdaten für eine Mindestfrist speichern und die IP-Adressen eindeutig zum Nutzer zuordnen können. Die Nutzer könnten weiterhin ins Internet gehen, ohne mit ihrem Kommunikationspartner beziehungsweise dem Server direkt in Kontakt treten zu müssen. Ein Recht auf Anonymität im Internet will Ziercke nicht bestreiten, wohl aber das „Recht auf Unidentifizierbarkeit“ selbst bei schwersten Straftaten.
Literatur
[1] Dennis Kügler, Risiko Reisepass, Schutz der biometrischen Daten im RF-Chip, c't 5/05, S. 84
[2] BSI-Papier zu Sicherheit im Reisepass
[4] Vortrag zu Phenostor (anm)
