Doku-Thriller Zero Days im Kino: Stuxnet war nur der Anfang
Ein digitaler Erstschlag, ein erster mit Zero-Day-Schwachstellen geführter staatlicher Angriff auf eine Industrieanlage – in vielerlei Hinsicht war der 2010 entdeckte Stuxnet ein Tag Null. Der Dokumentarfilm "Zero Days" zeichnet das nun nach.
"Kein Kommentar!" Das war alles, was der US-Dokumentarfilmer Alex Gibney am Anfang seiner Recherchen zu Stuxnet zu hören bekam. Nicht nur vom US-Geheimdienst NSA (National Security Agency) oder vom Ministerium für Heimatschutz (DHS), selbst Security-Experten wie Eugene Kaspersky wiegelten ab, wenn es um Schuldzuweisungen ging. Dabei galt spätestens nach den Recherchen von David Sanger die Autorenschaft für den Supervirus als geklärt. Gibney gab nicht auf, trug jede Menge neuer Fakten zusammen und fordert mit dem seinem Doku-Thriller "Zero Days" einen öffentlichen Aufschrei gegen das im Geheimen fortschreitende digitale Wettrüsten.
Geknackt hat Gibney den Fall Stuxnet, indem er im ersten Teil Securityforschern bei der forensischen Aufarbeitung des Virus filmisch folgt. Eric Chien und Liam O’Murchu von Symantec lassen den Zuschauer die Faszination – und das Grauen – der Entzauberung des komplexen Codes nacherleben. Den hatte der Anti-Virenexperte Sergey Ulasen in Weißrussland als erster entdeckt.
Stück für Stück sezieren sie die Payload. Den "gemeinen" Computervirus durchschauen Sicherheitsexperten heutzutage in der Regel innerhalb von Minuten. Bei Stuxnet kratzten sie dagegen noch nach einem Monat an der Oberfläche, sagt Chien. Von Anfang an erkannten sie aber: Jede der vielen Einzelroutinen des Schädlings sah gefährlich aus. Eine "Revolution" nennt Chien Stuxnet auch deshalb, weil allein vier Zero-Day-Schwachstellen verbaut wurden – also Lücken, die den Entwicklern nicht bekannt waren. Damit war der Wurm eine halbe Million US-Dollar wert – reine Materialkosten.
Cyberwaffenschmiede und Opfer identifizieren
Bauart und Kosten von Stuxnet lieferten schon früh den ersten Hinweis auf die mutmaßlichen Waffenschmiede. Egal ob bei Symantec oder im Haus des deutschen Securityanalysten Ralph Langner, den Gibneys als ernstere Variante des Cyberwurmjägers zu Wort kommen lässt, überall waren sie sich rasch einig: Weder kriminelle Hacker noch Cyberaktivisten hätten so viel investiert. Nur ein mächtiger Geheimdienst hat das auf der Platte. Spätestens da begannen die Analysten, sich auch darüber Gedanken zu machen, wer ihnen bei ihrer nächtlichen Arbeit wohl über die Schulter schaute.
Die Virenjäger fanden letztlich sehr verlässliche Spuren auf Stuxnet-Täter und -Opfer. Das in einigen Versionen des Virus gefundene Ablaufdatum beispielsweise lag zwei Tage vor der Amtseinführung Barack Obamas als US-Präsident. Das spiegelte wohl die behördlichen Gepflogenheiten von einer "sauberen Amtsübergabe". Codezeilen, die sechs Gruppen von Anlagen mit jeweils 64 Einzelgeräten festschrieben, lieferten einen der Hinweise auf das Ziel – die Zahlen entsprachen der Zahl Zentrifugen, die die iranische Atomanlage in Natanz zu dieser Zeit hatte.
Dass das Virus in einer ursprünglichen Variante nur aktiv werden sollte, wenn es genau diese Konstellation vorfinden würde, gehört zu den neuen Erkenntnissen in Gibneys Doku. Gibney widerspricht auch einer zentralen These der Recherchen von Sanger: Die weltweite Verbreitung war kein "Unfall". Vielmehr war nach seinen Recherchen die rasante weltweite Verbreitung das Ergebnis einer vom NSA-Partner Mossad abgeänderten aggressiveren Variante des Virus. Dieses Detail lässt sich Gibney im Film von anonymen NSA-Whistleblowern bestätigen, die die auf eine rasche Beschädigung von Natanz drängenden Mossad-Kollegen mit wenig feinen Worten bedenken.
Die Massierung von Stuxnet-Infektionen in iranischen Unternehmen führte die Security-Analysten und Gibney in den Irak, die Ermordung mehrerer iranische Atomwissenschaftler nach Natanz – dort passte Stunexts Routine perfekt. Teil zwei des Filmes zeichnet dann die Geschichte der US-Beziehungen mit dem Iran nach, eine teils trockene Lektion, die aber die politischen Hintergründe des digitalen Angriffs schlüssig erklärt. Kein Hollywood-Thriller hätte außerdem die Rolle des iranischen Offiziellen besser besetzen können als Gibney dies mit dem Vertreter des US-Iran Councils getan hat. Der höhnt, dass Israel und die Zerstörung der Natanz-Zentrifugen letztlich der Kick für die iranische Cyberarmee war.
Appell gegen Geheimhaltung
Gibneys möchte mit "Zero Days" einen öffentlichen Aufschrei gegen die Heimlichtuerei um das digitale Wettrüsten erreichen, da sie moderne Gesellschaften überall auf dem Globus bedrohe. Leugnen ist zwecklos, zeigen die gesammelten Aussagen von Mossad- und NSA-Geheimdienstlern. Eindringlich wirken auch die Stellungnahmen von Beamten des Department of Homeland Security, bei denen Hilferufe wegen mit Stuxnet infizierter Anlagen in den USA eingingen.
Statt die Strafverfolger gegen mögliche Informanten von David Sanger loszuschicken, wie dies Obama getan hat, sollte die Politik die offene Diskussion in Gang setzen, fordert Gibney und holt sich jede Menge Unterstützung. Mit dabei ist sogar der Ex-NSA- und Ex-CIA-Chef Michael Hayden, der die neuen Möglichkeiten durchaus toll findet, aber belustigt zugibt, dass er als ehemaliger Geheimdienstchef selbst für mehr Transparenz zur neuen Waffengattung sei.
Die Dringlichkeit der öffentlichen Debatte unterstreicht Gibney fett. Stuxnet nämlich war nur der Anfang, warnen die anonymen Stimmen in seinem Film und weisen auf sehr viel größere, noch laufende Aktionen hin. Die Gesellschaft muss angesichts der Entwicklung den Dialog über die heimliche Aufrüstung – und über mögliche Abrüstungsszenarien – erzwingen, sagt Gibney. Denn abgesehen von einer drohenden Eskalation, laufen geheime Waffenarsenale stets Gefahr, in fremde Hände zu fallen. Mit Stuxnet, dessen Code sich Gibneys Co-Produzent Javier Botero trotz aller Geheimhaltung in einer Originalversion beschaffen konnte, habe man schon jetzt Hackern eine Blaupause fürs Manhattan-Projekt geliefert.
Zero Days (116 Minuten) läuft am heutigen Donnerstag in ausgewählten deutschen Kinos an. Ab 6. September ist der Film dann bereits digital erhältlich. (mho)
