Sicherheitsunion: Telekom will digital die Grenzen hochziehen können
Axel Petri, Sicherheitskoordinator der Telekom, hat für eine Allianz europäischer Länder geworben, die Netzübergänge notfalls dichtmachen können.
(Bild: Gerd Altmann, Public Domain (Creative Commons CC0))
Europäische Länder sollten sich dafür wappnen, "digital die Grenzen hochziehen zu können". Das betonte der Konzernsicherheitskoordinator der Deutschen Telekom, Axel Petri, am Mittwoch auf dem "Tag der Sicherheit" des Bundesinnenministeriums und des Bundesverbands der deutschen Industrie (BDI) in Berlin. Petri bezog sich dabei auf das Konzept der "digitalen Sicherheitsunion", das der Telekom-Datenschutzvorstand Thomas Kremer voranzutreiben versucht.
Nötig sei ein Zusammenschluss von Ländern, "die Ethik und Werte teilen", meint Petri, ließ dabei allerdings offen, welche Staaten das sein könnten. Die Frage, ob eine solche Sicherheitsunion die virtuelle Grenze nach außen bei massiven Angriffen dichtmachen könne, sei angebracht. Auch die USA und China hätten nur "ganz wenige Netzübergänge nach außen". Auf dem Internet Governance Forum (IGF) in Berlin hingegen wurden die chinesischen und russischen Bemühungen um geschlossene Kommunikationsnetzwerke jüngst als Angriff auf das offene Internet kritisiert.
Sorge über Backdoors
Seine "große Sorge" äußerte Petri zu politischen Plänen, zunehmend auf Backdoors oder andere Schwachstellen zu setzen, um durchgehende Verschlüsselung etwa durch Staatstrojaner auszuhebeln und Kommunikation im Klartext mitlesen zu können. Hier müsse der Staat die Devise, Sicherheitslücken zu schließen, in den Vordergrund stellen. Noch habe niemand beweisen können, dass Hintertüren nicht missbraucht würden.
Die vom Innenministerium propagierte "aktive Cyberwehr" alias Hackback sieht Petri ebenfalls skeptisch. Eine Reaktion auf einen Cyberangriff dürfe nicht einfach den vernetzten Kühlschrank treffen, der Teil eines Botnetzes geworden sei. Genauso gefährlich sei es, wenn kritische Infrastrukturen oder Krankenhäuser für eine Attacke missbraucht würden. Eine auf weitere Wirtschaftsfelder wie die chemische Industrie oder Entsorgungsbetriebe erweiterte Meldepflicht für IT-Sicherheitsvorfälle sei dagegen sinnvoll.
Netzsperre manchmal nötig
Andreas Könen, Abteilungsleiter Cyber- und Informationssicherheit im Innenministerium, trat dagegen für die Aktivabwehr ein: "Wir schlagen nicht zurück, wir nehmen keine Rache, wir agieren nicht präventiv", versicherte er. Mitunter sei es aber nötig, eine Netzsperre verhängen oder bestimmte Angriffskanäle sperren zu können. Bei Botnetzen oder Denial-of-Service-Angriffen müsse es dem Bundeskriminalamt (BKA) durch eine Grundgesetzänderung ermöglicht werden, sich an internationalen Aktionen zur Gefahrenabwehr zu beteiligen.
"Jede bekannte Schwachstelle, die bekannt wird, muss unmittelbar den Herstellern kommuniziert werden", meinte Könen. Der Gesetzgeber habe aber auch die Quellen-Telekommunikationsüberwachung sowie heimliche Online-Durchsuchungen implementiert, sodass die Polizei dem verantwortungsvoll nachkommen können müsse. Dafür sei auch mal ein Zugang zu Geräten aus der Ferne erforderlich, wofür die Behörden Schwachstellen und Exploits benötigten.
Sichere Komponenten wichtig
Wenn Cyberkriminelle sich mittlerweile auch mit Künstlicher Intelligenz (KI) auf die Suche nach Schwachstellen machten, dürften sie Zero-Day-Exploits ebenfalls bald finden, wandte Ralf Kleinfeld ein, Information Security Officer bei Otto. Für die Industrie seien vor allem "sichere Komponenten" wichtig. Es müsse klargestellt sein, wie lange es Sicherheitsupdates gebe und wie lange ein Produkt unter diesen Aspekten sinnvoll betrieben werden könne. Auch die Verbraucher müssten hier besser aufgeklärt werden, wofür die Bundesregierung 2020 mit einer großangelegten Werbekampagne sorgen will.
Vor allem das Internet der Dinge und KI schafften "neue Tatgelegenheiten", warnte der parlamentarische Innenstaatssekretär Günter Krings. Die CEO-Betrugsmasche etwa werde mittlerweile mit Stimmen-Imitationssoftware verfeinert, auch "Deep Fakes" schafften neue Möglichkeiten für die "echte Innovationsbranche" der Cyberkriminellen. Meist "hochprofessionell" vorbereitete und durchgeführte Ransomware-Angriffe setzten Unternehmen und anderen Institutionen zudem immer mehr zu. Es sei daher wichtig, über das geplante IT-Sicherheitsgesetz 2.0 das Cyber-Abwehrzentrum auszubauen und den Informationsaustausch zwischen Staat und Wirtschaft zu vertiefen, um ein aussagekräftiges Cyber-Lagebild erstellen zu können.
"Wir müssen Anonymität und Pseudonymität im Meldeverfahren über alle Stufen hinweg durchziehen", unterstrich BDI-Präsident Dieter Kempf. Die Industrie wolle nicht, "dass alles überwacht wird". Letztlich mache es auch nur einen "rudimentären Unterschied", ob Kriminelle, Extremisten oder ausländische Geheimdienste "unsere Systeme" angriffen. Technisch helfe dagegen vor allem Ende-zu-Ende-Verschlüsselung. Zudem müsse beim Netzausbau etwa für 5G jeder Anbieter nach gleichen Kriterien ausgewählt werden. Von einer "hysterischen Huawei-Diskussion" hält Kempf nichts, da diese meist nur politisch motiviert sei. Hierzulande stammten 95 Prozent des 4G-Equipments von dem chinesischen Ausrüster. Wer dieses ersetzen wolle, könne sich die Kosten ausrechnen. (anw)
