Cyber Abwehr

Angriffe auf Computersysteme nehmen von Jahr zu Jahr zu – in Deutschland und weltweit. Betroffen sind sowohl Computersysteme und -netze der öffentlichen Hand, wie beispielsweise von Ministerien, der Regierung, von Institutionen der öffentlichen Sicherheit als auch Unternehmen und Privatpersonen. Der Versuch einer sauberen Zuordnung eines solchen Angriffs bezüglich der Intention ist im Vorfeld teilweise einfach, doch teilweise sehr schwierig: Handelt es sich um allgemein zerstörerische Absichten, z.B. Sabotage? Handelt es sich um Computerkriminalität mit der Absicht der Erlangung unmittelbarer finanzieller Vorteile, z.B. Ausspähung von Bankdaten? Handelt es sich um Spionage im Auftrag von Unternehmen oder Drittstaaten? Handelt es sich möglicherweise um einen Angriff im Sinne und dem grundsätzlichen Wesen nach wie um einen Kriegsangriff? Sowohl Abwehr als auch Aufklärung solcher Vorgänge bedingen viel gebündeltes Wissen und das intelligente Management von Informationen. Die nachfolgenden Betrachtungen sollen ein paar Denkanstöße vermitteln. 

.

Grauzonendiffusion

Die Täter, ob Einzeltäter oder Gruppierungen, ob privat oder im staatlichen Auftrag handelnd, ob politisch oder wirtschaftlich motiviert, wissen so einige Dinge in und über Deutschland recht genau:

Es ist oftmals technisch nicht einfach, den Tätern auf die Spur zu kommen und die Beweisführung möglichst zeitnah anzutreten, von der nachfolgenden Strafverfolgung gar nicht zu sprechen – national wie international. Der Streit der Zuständigkeit zwischen verschiedenen Ressorts spielt den Tätern in die Hand. Täter scheren sich nicht um föderale Grenzen, Zuordnungen und Zuständigkeiten der Bundesländer oder von Staaten oder Organisationen. Sie scheren sich nicht um Verordnungen, Gesetze und Abkommen. Täter machen ihre eigenen Spielregeln, sich ständig ändernd, immer situativ angepasst..

Zur Aufklärung von Vorgängen ist es sehr oft erforderlich Unmengen an Daten, an sogenannten ‘strukturierten’, wie auch ‘unstrukturierten’ Daten, auch allgemein öffentlich zugänglichen Daten zu speichern, Daten, die auf den ersten Blick zunächst überhaupt keinen Sinn oder Zusammenhang zu ergeben scheinen, und erst nach Monaten, wenn nicht sogar nach Jahren das mühsame Puzzle zu einem Vorgang, einer Tat, eines Angriffs und den damit verbundenen Personen und/oder Organisationen in ein erkennbares Bild überführen. Sich im Zeitalter der Informationsüberflutung und beim Suchen nach der berühmten ‘Nadel im Heuhaufen’ der trüben Hoffnung hinzugeben, dass man bei Datenmengen vielleicht in Gigabyte oder Terabyte denken kann, ist reine Selbsttäuschung. Petabyte oder sogar Exabyte sind für die weiter zunehmende, weltweite Informationsüberflutung eine durchaus anzunehmende Größenordnung..

Hochintelligentes Informationsmanagement, Datenmanagement und Dokumentenmanagement – sowohl was Informationssicherheit für Berechtigte mit unterschiedlichen Sicherheitsstufen als auch Informationsverwertung zur Klärung von Vorgängen anbelangt – ist der Punkt, woran ein sehr großer Teil der Organisationen des öffentlichen Dienstes scheitert. Abschreckendes Informationsmanagement wie die ‘CableGate’-Affäre der bei WikiLeaks veröffentlichten Cables aus den US-Botschaften, wo vorübergehend ungefähr eine Million User Zugriff innerhalb eines regierungsinternen Netzwerkes der USA hatten, schreckt zu Recht Beteiligte wie Unbeteiligte auf: Von Datensicherheit und Datenschutz kann hier nicht die Rede sein.

 Know-How im Cyber-Bereich bei Abwehr, Prävention und Aufklärung aufzubauen, ständig zu pflegen und auf dem aktuellen Stand zu halten, ist zeit-, personal- und kostenintensiv. In Zeiten hochbelasteter öffentlicher Haushalte und trotz Unkenrufe noch lange nicht beendeter, auch analytisch gut belegbarer Finanzkrise ist das Thema der Projektfinanzierung sehr oft der Punkt, an dem ein öffentliches Vorhaben scheitern kann.

Bereits heute ist Personal insbesondere bei Polizei und Staatsanwaltschaften mit Aufgaben zeitlich völlig überlastet. Vorgänge bleiben liegen und können auch fachlich einfach nicht bearbeitet werden. Zeitraubende, interne Verwaltungsbürokratie trägt zudem auch nicht unbedingt dazu bei, durch effizientes, möglich weitgehend automatisiertes Prozessmanagement / Vorgangsmanagement („Workflow“) das eigentliche Kerngeschäft zu machen.

Diese und weitere Punkte verdeutlichen, dass ‘Cyber-Täter’ ihren Verfolgern in den meisten Fällen weit voraus sind, ganz nach der Geschichte vom Hase und dem Igel: „Ich bin all hier.“

.

Cyber-Abwehrzentrum

Im Dezember 2010 schlug Bundesinnenminister Thomas de Maiziere die Schaffung eines Cyber-Abwehrzentrums vor. Die erkannte Notwendigkeit und die damit verbundene Idee wird von der Bundesregierung mitgetragen. Üblicherweise kommen relativ schnell Bedenkenträger daher, die vor einem solchen Abwehrzentrum oder einer möglichen Datensammelwut warnen. Dies sollte man nicht überbewerten. Die Angst der Bürger vor Transparenz, vor „Stasi- Überwachung“ oder die Argumentation mit „Orwell 1984“ ist meist entweder politisch vorgeschoben oder zeugt schlichtweg von fachlicher und/oder technischer Unkenntnis.

Ganz erstaunlich ist dabei für viele: Private Unternehmen in Deutschland, in Europa und außerhalb Europas verfügen über Millionen persönliche Datensätze von Bürgern. Nach Untersuchungen sind davon je nach Unternehmen bis zu einem Drittel, teilweise bis zu zwei Drittel der Daten falsch. Nur wenige Bürger regen sich über die Datensammlung dieser privaten Organisationen und Unternehmen auf – ganz nach dem Motto: Na und? Und die allermeisten Bürger wissen auch gar nicht, welche Daten bei welchen privaten Unternehmen im In- und Ausland über sie gespeichert sind. Viele Bürger sind sogar noch großzügiger: Über eine Milliarde Datensätze sind weltweit in diversen, sogenannten „Social Networks“ freiwillig hinterlegt (Facebook, LinkedIn, Ecademy, Twitter, XING u.v.m.). Natürlich nicht alle überall vollständig, und einige davon auch „gefakt“ (Person mit dieser angeblichen „Identität“ gibt es gar nicht), wenn man mal den ein- oder anderen Datensatz analysiert.

Der Leitgedanke von de Maiziere zur Schaffung eines solchen Cyber-Abwehrzentrums beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ohne zugleich eine ganz neue Behörde aus dem Boden stampfen zu wollen, ist daher zielführend und zu begrüßen. Auf den Webseiten des BSI finden sich diverse Hinweise zum Thema ‘Cyber’, die durchaus auch für Laien verständlich sind, jedoch auch fachlich tiefergehende Informationen beinhalten.

Falls de Maiziere diesen zielorientierten Ansatz – Bündelung von Know How im Bereich Cyber-Abwehr – erfolgreich und auch zeitnah umsetzen will, wird er nicht umhinkommen, für dieses Vorhaben einen Projektmanager zu bestimmen, der in einem Misserfolgsfall des Projektes auch „öffentlich geköpft“ wird – bildlich gesprochen. Ein solches Projekt lässt sich auch nicht in irgendeinem Nebenamt mal so nebenbei aufsetzen, sondern erfordert einen 100%-Einsatz.

Auch eine allgemeine Verantwortungsdiffusion, die leider immer wieder bei der öffentlichen Hand zu finden ist, wenn Projekte aus dem Ruder laufen, sich unnötig verzögern oder den ursprünglich geplanten Kostenrahmen deutlich übersteigen, ist ebenfalls weder hinnehmbar noch politisch verantwortbar. Planbar im Sinne einer präventiven (Abwehr)-Maßnahme ist allerdings, dass de Maiziere die Notwendigkeit eines solchen Projektmanagers erkennt und dann „par ordre du mufti“ selbigen installiert. Wegen der länder- und ressortübergreifenden, vielfältigen Themen und Aspekte eines solchen Cyber-Abwehrzentrums verbunden mit hohem kommunikativen Koordinationsaufwand zwischen den Beteiligten einschließlich der Industrie keine einfache Aufgabe. Diese Ausgangslage sollte de Maiziere nicht auf die leichte Schulter nehmen.

.

Kosten – Nutzen

Gerade bei der öffentlichen Hand, wo leider zu oft der nicht sorgfältige Umgang mit Steuermitteln zu Recht immer wieder in die Kritik des Bundesrechnungshofes gerät, muss der verschärfte Blick darauf gerichtet werden, mit welchen Kosten gerechnet werden muss, wenn ein solches Cyber-Abwehrzentrum als „die Know-How-Stelle“ in Deutschland ins Leben gerufen werden soll. Auch wenn ein solches Projekt selbstverständlich im Detail durchgeplant werden muss, und somit von den Anforderungen aller Beteiligten abhängt, welches dann erst zu den voraussichtlichen Projektkosten führt, lässt sich zumindest in einer groben Abschätzung vor Augen führen, zu welchem volkswirtschaftlichem oder sicherheitspolitischen Nutzen ein solches Cyber-Abwehrzentrum beitragen kann:

Je nach Quelle werden in Deutschland jährlich zwischen 20 und 50 Milliarden Euro an Schaden durch Industriespionage verursacht – nicht mehr wie früher beispielsweise üblich durch Kopieren von Unterlagen, sondern durch elektronisches Ausspähen von Computernetzen, Computern, mobilen Einrichtungen oder Datenträgern.

Der Schaden durch elektronischen Finanzbetrug (Emails, Webseiten, Transaktionssysteme) liegt jährlich weltweit nach Aussagen von Experten ebenfalls im zweistelligen Milliardenbereich. Wie hoch der Schaden in Deutschland ist, lässt sich nicht genau beziffern, da viele der Geschädigten sich in Schweigen hüllen – aus vielerlei Gründen.

Angriffe auf Computernetze der öffentlichen Hand können in einem Wertgefüge von Betrag x bis Betrag y sehr schlecht beziffert werden, denn die Frage ist: Wie viel wertmäßiger „Schaden“ entsteht denn einer Regierungsbehörde, einem Ressort, einer Einrichtung der öffentlichen Sicherheit, einem Land wie Deutschland, wenn Daten, wenn Informationen gestohlen werden, die im Zeitalter der Globalisierung möglicherweise von sehr hoher nationaler Bedeutung sind und/oder Auswirkung für die kommenden 10, 20 oder 50 Jahre haben?

Nur allein schon diese drei Aufzählungen sollen genügen, um die Sinnhaftigkeit eines solchen Cyber-Abwehrzentrum vor Augen zu führen – ein Cyber-Kompetenzcenter. Es bleibt jedem selbst überlassen an Hand dieser Aufzählungen grob zu überschlagen wie viele tausende Arbeitsplätze in Deutschland jährlich durch Cyberaktivitäten vernichtet werden. Der volkswirtschaftliche Schaden dürfte deutlich höher sein, als in den Aufzählungen angedeutet. Nicht zu vergessen: Deutschland ist ein rohstoffarmes Land. Es wird heute und zukünftig mehr denn je von dem Wissen, von seinem Know-How leben müssen. Dies gilt es unter allen Umständen zu schützen.

Wie kompetent dieses Cyber-Abwehrzentrum zukünftig werden und welche Verantwortung es tragen wird, hängt im Wesentlichen davon ab, wie intelligent vielfältige, bereits vorhandene sowie auch zukünftige Ressourcen genutzt werden und damit verbundenes, hochwertigstes Informationsmanagement sowie damit einhergehende Kommunikation strukturiert und ohne Informationsflussredundanzen erfolgt. Intelligent und nach Kosten-Nutzen-Betrachtungen geplant ist auch in schwierigen, finanziellen Zeiten ein solches Cyber-Abwehrzentrum realisierbar. Die politische Verantwortung für dieses diffizile, ressortübergreifende, interdisziplinäre und natürlich auch „politische“ Projekt kann de Maiziere allerdings niemand nehmen.

*Ralf R. Zielonka, Jahrgang 1957, ist freiberuflicher Berater für Strategie, Projektmanagement, Organisation und Business Development. Nach dem Studium der Chemie war er viele Jahre unter anderem für IT-Firmen auch international tätig. Seine sicherheitspolitischen Schwerpunkte sind aktuelle Fragestellungen zu den Themen Verteidigung, Homeland Security, internationale Sicherheit, Geo-Strategien sowie Energie- und Rohstoffversorgung. Er ist Reserveoffizier der Deutschen Bundeswehr und ehrenamtlich stellvertretender Landesvorsitzender Nordrhein-Westfalen im Verband der Reservisten der Deutschen Bundeswehr e.V. (VdRBw), dort verantwortlich für die Bereiche "Förderung Militärischer Fähigkeiten" (FMF) und "Mitgliederbetreuung".

 
Kontakt: http://bit.ly/Zielonka