Cyber-Abwehrzentrum für Deutschland: Viele Worte, wenig Substanz

Gestern hat Innenminister Thomas de Maizière (CDU) die „Cyber-Sicherheitsstrategie für Deutschland“ vorgestellt. Die beiden Eckpunkte sind die Einrichtung eines Nationalen Cyber-Abwehrzentrums (NCAZ) und eines Nationalen Cyber-Sicherheitsrates.

Auf einer gestern einberufenen Pressekonferenz sollten „Fakten“ die Notwendigkeit dieser Institutionen belegen. Dazu zählten etwa, dass pro Sekunde zwei neue Schadprogramme entwickelt werden, pro Minute zwei Identitäten gestohlen werden und pro Monat 30.000 Angriffe auf Netzwerke der Bundesregierung stattfinden.

Das alles erklärt recht wenig, was Sinn und Zweck der beiden Institutionen sein soll, sprich wer geschützt werden soll und gegen was. Geht es um gestohlene Identitäten, mit denen Betrüger im Internet auf Einkaufstour gehen, um deutsche Wirtschaftsunternehmen, deren Wissen im Bereich Automobilindustrie, Transrapid und Maschinenbau vor Diebstahl geschützt werden soll, um einen Cyberwar, der das gesamte Internet und die Energieversorgung lahmlegt und sogar Katastrophen in Kernkraftwerken verursachen kann, oder einfach nur um die Angst, sich genauso zu blamieren wie die USA im Cablegate-Skandal.

Wirft man einen Blick auf die Informationsbroschüre (PDF) des BMI, so findet man unter dem Punkt „IT-Gefährdungslage“ nicht viel Konkretes. Als Konsens lässt sich zusammenfassen, dass hinter professionellen Angriffen nicht nur gewöhnliche Kriminelle, sondern auch staatliche Nachrichtendienste und Terroristen stecken können. Denkbar sei auch, dass Cyberangriffe Teil einer militärischen Operation sein können.

Ferner ist man sich offensichtlich der eigenen Machtlosigkeit bewusst: Es gebe praktisch keine Landesgrenzen. Die Abwehr- und Rückverfolgungsmöglichkeiten seien stark begrenzt. Dem könnte man noch hinzufügen, dass nur ein kleiner Teil der Angriffe überhaupt bemerkt wird: Von dem mutmaßlich von der chinesischen Regierung initiierten Aurora-Angriff war schließlich nicht nur Google betroffen, sondern zahlreiche andere Firmen. Darunter befanden sich Yahoo, Symantec, Juniper Networks, Northrop Grumman und Dow Chemical. Einzig und allein Google hatte die Attacke bemerkt. Die anderen Unternehmen hätten sich vermutlich jahrelang unbemerkt ausspionieren lassen.

Dass eine Bedrohungslage auch für Regierungen und Großunternehmen nicht nur abstrakt vorliegt, sondern professionelle Angriffe längst durchgeführt werden, zeigen neben Aurora auch die Beispiele Stuxnet und Ghostnet.

Eine im Januar veröffentlichte OECD-Studie (PDF) unterscheidet zwischen „Cyber Espionage“ und „Cyberwar“. Während die Studie klar die Gefahren durch Spionage aufzeigt, sieht sie keine Gefahren durch einen Cyberwar, der darauf abzielt, die Infrastruktur eines Landes, wie Energieversorgung und Bankwesen, lahmzulegen.

Ein typischer Cyberwar dauere maximal ein bis zwei Tage. Danach hätten die Administratoren meist technische Gegenmaßnahmen ergriffen, um die Systeme wieder online zu bringen. Ein Cyberwar könne aber sehr wohl begleitend zu einem konventionellen „kinetischen Krieg“ hinzukommen, um sich durch den Ausfall von Infrastruktur einen Vorteil zu verschaffen.

Ein komplexer Angriff auf die kritische Infrastruktur eines Landes sei heute nur Staaten wie den USA, China, Russland, Frankreich, Israel und Großbritannien möglich. Dazu bedürfe es an Aufklärung, Planung und Fähigkeiten, wie sie nur bestimmten Staaten zur Verfügung stehe.

Auf das Beispiel Stuxnet geht die Studie in diesem Zusammenhang nicht explizit ein. Der Ursprung von Stuxnet ist nach wie vor unbekannt. Man kann zwar nicht ausschließen, dass Stuxnet von einem Wirtschaftsunternehmen entwickelt wurde, das über IT-Spezialisten verfügt, und dessen CEO oder Inhaber sich als „Patriotic Hacker“ versucht hat, jedoch ist es um ein Vielfaches wahrscheinlicher, dass die USA und Israel hinter dem Angriff stecken.