Der Snowden-Effekt: des einen Leid, des anderen Freud‘

Amazon, AOL, Apple, Broadcom, Computer Associates, Cisco, Dell, Dropbox, Ebay, Facebook, Google, Hewlett Packard, IBM, Intel, Juniper Networks, Kodak, Linkedin, McAfee, Microsoft, NCR, Oracle, Paypal, Qualcomm, Rockwell Automation, RSA, Salesforce, Skype, SAS, Symantec, Tibco, Twitter, Unify, Verizon, Western Digital, Xerox , Yahoo und Zyxel haben ein Problem: Sie sind US-Amerikanischen Ursprungs. Dadurch könnten sie unter den Paragraphen 1881a des „Foreign Intelligence Surveillance Act of 1978 Amendments Act of 2008” (FISA Amendments Act, FISAAA) fallen.

Dieses Ermächtigungsgesetz erlaubt die Überwachung von Nicht-Amerikanern, die sich außerhalb der USA aufhalten. Caspar Bowden, früher Datenschützer bei Microsoft, erklärte die Voraussetzungen bereits Monate bevor Edward Snowden die Geheimdienstaffäre ins Rollen brachte: Jeder der außerhalb der Vereinigten Staaten seine Daten den Wolken von Amazon, Apple, Microsoft oder Google anvertraue – einschließlich derer, die ihre Infrastruktur auslagern, um Kosten zu sparen -, liefe Gefahr, von der US-Regierung ausgespäht zu werden.

60 Prozent der Deutschen Internetsurfer mißtrauen dem Datenschutz US-Amerikanischer Anbieter mehr als vor den Snowden-Veröffentlichungen (Quelle: 1&1).

Die New York Times meint, dieser anlasslosen Überwachung müsste nur der Generalbundesanwalt gemeinsam mit dem Geheimdienstkoordinator bescheinigen, dass die Maßnahme der Sammlung geheimdienstlicher Informationen diene. Das Fiese von FISAAA: Wenn die US-Wirtschaft nicht spurt und verlangte Daten nicht rausrückt, gibts auf die Griffel — unter der Überschrift “Order to compel” (“Zwangsanordnung”) droht der US-Gesetzgeber: “Wenn ein Anbieter elektronischer Servicedienstleistungen eine erlassene Anweisung (zur Überwachung, Anm. d. Autors) nicht unterstützt, kann der Generalbundesanwalt einen Antrag auf eine Anordnung stellen, die den Anbieter elektronischer Servicedienstleistungen zwingt, der Verfügung nachzukommen, für die der  Foreign Intelligence Surveillance Court (FISC) zuständig ist.”

Der Unternehmer ist dann vor die Wahl gestellt, mit den Behörden zu kooperieren oder den Unternehmensbetrieb einzustellen: So mußte Edward Snowdens eMail-Anbieter Ladar Levison  seine Firma schließen, weil er sich nach eigener Aussage geweigert haben soll, alle privaten Schlüssel seiner Kunden an die Behörden zu übergeben – sonst hätte er womöglich sogar mit Knast rechnen müssen. Yahoo-Chefin Marissa Mayer meint, Haft könne den „Verrätern“ auch  dann drohen, falls sie auch nur über das Ausmaß der gesammelten Daten in ihren Unternehmen berichteten.

Die Berichte über die brutalen Daumenschrauben lassen die Kunden der Service Provider nicht unbeeindruckt: Die Bestellungen bei Cisco aus China beispielsweise sind im vergangenen Quartal um 18 Prozent eingebrochen. Cisco-Boss John Chambers kommentiert: „Ich habe noch nie einen so schnellen Schwenk in einem Wachstumsmarkt gesehen.“ Insgesamt hat der Konzern im letzten Jahr 7,8 Prozent weniger eingenommen als im Vorjahr. Abwärts geht’s auch bei IBM: Deren Kunden haben letztes Jahr nur noch 27,70 Milliarden US-Dollar überwiesen – gegenüber 29,30 Milliarden im Vorjahr.

US-Cloud-Anbieter mit Umsatzeinbrüchen

Und die Zukunft sieht auch nicht lustiger aus: Das Wallstreet Journal berichtete im September letzten Jahres unter Berufung auf zwei Studien, dass U.S. Cloud Anbieter und andere Dienstleister mit Einbrüchen in Höhe von 180 Milliarden US-Dollar in den nächsten Jahren zu rechnen hätten.

Facebook-Gründer Mark Zuckerberg ist sauer: „Ich glaube, es ist meine und die Aufgabe von Facebook, jeden zu schützen, der Facebook nutzt. Die Aufgabe der Regierung ist es, uns alle zu schützen. Die Regierung hat’s vermasselt.“ Gern hätten wir an dieser Stelle von den betroffenen US-Unternehmen erfahren, wie sie mit dieser Situation weiter umzugehen gedenken – allerdings blieb unsere Mail an Amazon, Cisco, Facebook, Google, IBM, Intel, McAfee, Salesforce und Symantec unbeantwortet. Oracle ließ den Autor über seine PR-Agentur wissen, dass er grundsätzlich fünf Arbeitstage für eine Presseanfrage einzuplanen hätten. Unbeantwortet blieb auch die Mail an den Bitkom, einen Verband der IT-Industrie, in dem eine Reihe der genannten Unternehmen Mitglied sind.

Das Thema „Sicherheit“ gehört jedenfalls zu den Top-Themen im laufenden Jahr – die Berater überschlagen sich in ihren Vorhersagen: FireEye glaubt, dass mehr Schadcode ins BIOS und die Firmware  eindringen werden – das kann offenbar auch tödlich für die Harware sein. Fortinet erwartet den vermehrten Angriff auf Geräte, die nicht am Netz hängen. Symantec sieht im „Internet der Dinge“ bereits das „Internet der Verwundbarkeiten“, das nach Meinung von Zscaler angegriffen wird. Neophasis glaubt, dass eine „ausländische Macht oder eine organisierte Bande von Cyberkriminellen „für lange Zeit“ in ein „mittelgroßes oder städtisches Versorgungsunternehmen eindringen wird.“ Websense sieht einen „bedeutenden Datenzerstörungsangriff“ vorher. Lancope verlangt daher „Sicherheit für Alles“ im „Internet von Allem“.

Ein kaum zu erfüllender Anspruch – die Gesellschaft für Informatik (GI) etwa glaubt, dass die Dienste weltweit Zugriff auf 80.000 Server – davon 10.000 in Deutschland – haben. Dabei sind sich die USA einer möglicherweise anhaltenden Inkontinenz ihrer eigenen Datenspeicher bewusst – Geheimdienst-Koordinator James R. Clapper bekannte Mitte Februar 2014: „Es gibt keine Mausefalle, um sicherzustellen, dass es nie wieder einen weiteren Edward Snowden geben wird.“ Und künftige Snowdens müssen nicht alle die Welt verbessern wollen; die GI fürchtet, auch Kriminelle könnten sich für Fähigkeiten und Erkenntnisse der Spione interessieren.

Das sollte die weltweite Wirtschaft allgemein und die Deutsche Wirtschaft im Speziellen aufmerksam zur Kenntnis nehmen: SAP verfügt eigenen Angaben zufolge über 183.000 Kunden, in Deutschland setzen angeblich alle DAX30-Konzerne die Software der Walldorfer ein. Unter Experten gilt SAP daher als strategisches Angriffsziel. Der Konzern aber weigert sich bislang, darüber zu debattieren, welche Folgen es haben könnte, wenn Dritte über einen „Generalschlüssel“ zu allen installierten Anwendungen hätten.

Dabei geraten nicht nur Dampfer wie SAP ins Visier der Angreifer – auch die kleinsten Details menschlichen Befindens erregen die Aufmerksamkeit spionierender Schlapphüte: So sollen Clappers Mannen nach Angaben der New York Times auch die Verschlüsselung elektronischer Patientenakten geknackt haben und in einzelne Anwaltskanzleien eingedrungen sein. ZDNet erklärt heute, welche Fähigkeiten die Geheimdienste entwickelt haben, um aus den vielen Daten Personenprofile – in Echtzeit! – zu bilden. Der frühere Guardian-Autor Glenn Greenwald behauptet, die vielen Daten würden unter anderem zur „Infiltration“ des Internet genutzt – das Ziel sei, die Opfer zu manipulieren, zu täuschen und ihren Ruf zu „zerstören“. Dazu würden auch psychologische und sozialwissenschaftliche Erkenntnisse genutzt. Da fehlt nur noch der biometrische und multimediale Identitätsdiebstahl.

Offenbar fürchten die US-Anbieter um ihre Felle, solange FISAAA in Kraft ist; sie reagieren darauf in zweierlei Weise: Einerseits versuchen sie, die US-Regierung zu einer Verhaltensänderung zu bewegen, andererseits liefern sich Google, Facebook, Microsoft und Twitter ein kryptographisches „Wettrüsten“ mit der NSA, um wenigstens zu verhindern, dass die Regierung unbemerkt auf ihre Systeme zugreift. Ob sie dabei Erfolg haben, bleibt abzuwarten. Immerhin sagt Edward Snowden: „Verschlüsselung funktioniert!“ Gut implementierte Systeme gehörten zu den wenigen Dingen, auf die man sich verlassen könne.

Noch wird von diesen Möglichkeiten zuwenig Gebrauch gemacht – Lydia Pintscher vom Wikimedia Deutschland e.V. meint: „Was ich sehe ist, dass sich viel mehr Menschen darüber bewusst werden was es heißt keine Kontrolle über sein eigenes System zu haben. Viel mehr Menschen wird bewusst, dass Freie Software es viel schwerer macht, Hintertüren einzubauen. Und natürlich wird es immer deutlicher, dass die Zentralisierung des Internets bei Großkonzernen reale Gefahren birgt, die wir zu lange in Kauf genommen haben im Austausch für Convenience.“

Diesen Eindruck scheinen Studien zu belegen – so hat die Convios Consulting GmbH im Auftrag von 1&1 hat das Surfverhalten unter die Lupe genommen – Ergebnis: Über 60 Prozent der Deutschen sagen, dass ihre Bedenken gegenüber US-Providern seit Bekanntwerden der Snowden-Enthüllungen größer geworden sind. Jeder Dritte spricht sogar von einer „deutlichen“ Zunahme.

Aber auch in der Wirtschaft schärft sich das Bewusstsein – so hat das European Information Technology Observatory (EITO) Ende letzten Jahres festgestellt, dass IT-Sicherheitsinvestitionen momentan höchste Priorität besitzen. 70 Prozent der befragten europäischen Unternehmen messen diesem Thema angeblich eine hohe oder sehr hohe Bedeutung zu.

Des Einen Leid‘ des Anderen Freud‘: Europäische Anbieter von Informationstechnik können nicht gezwungen werden, ihre Kunden Amerikanischen Spionen ans Messer zu liefern – die müssen also nur noch das Kunststück fertig bringen, für technische Sicherheit zu sorgen. Unter die Rubrik „gute Verschlüsselung“ fällt nach Meinung des Sicherheitsspezialisten Kaspersky beispielsweise das Programm „Pretty Good Privacy“ (PGP). Bei einer Variante dieses Programms – der freien Verschlüsselungssoftware GnuPG (‚GNU Privacy Guard‘) müssen die Nutzer nicht einmal auf die Sicherheits-Versprechen des Programmierers vertrauen, sondern können die Sicherheit selbst prüfen – oder einen sachverständigen Dritten darum bitten.

Werner Koch, Entwickler von GnuPG, sieht heute ein „stark gestiegenes Interesse“ gegenüber dem Jahresbeginn 2013: „Vor einem Jahr wurden täglich etwa 300 öffentliche Schlüssel in Verzeichnisse eingestellt. Heute sind es über tausend.“ Jetzt hofft er noch auf zusätzliche Entwicklungsaufträge.

IT-Security made in Germany

Die könnten womöglich aus der Politik kommen – Viviane Reding, Vizepräsidentin der Europäischen Kommission, verantwortlich für ‚Justiz, Grundrechte und Bürgerschaft‘ äußert sich dazu in einem 50-seitigen Telekom-Bericht: „Datenschutz ist die Grundvoraussetzung dafür, dass sich die digitale Welt weiterentwickelt. Nur wenn Bürger, Unternehmen und andere Nutzer Vertrauen haben, dass ihre Daten stets wirkungsvoll geschützt sind, wird die digitale Welt – auch die digitale Wirtschaft – ihr volles Potenzial erreichen.“

In dem gleichen Bericht empfiehlt der frühere Außenminister und heutige Vorsitzende der Deutsche Telekom Stiftung, Klaus Kinkel einerseits den Aufbau einer „Hochsicherheits-IT“ mit deren Hilfe „die Widerstandsfähigkeit unserer Netze so weit erhöht wird, dass sie auch technologisch anspruchsvollen Angriffen standhalten.“ Dazu sei es notwendig, die technische Unabhängigkeit Europas von den USA und China wiederherzustellen und – so Kinkel: „IT-Security made in Germany‘ kann und sollte zu einer Marke mit internationaler Strahlkraft werden.“

‚IT-Security made in Germany‘ spricht Travis Witteveen, CEO des digitalen Kammerjägers Avira, aus dem Herzen: “Die Regierung geht hierzulande verantwortungsvoll mit den Themen Datensicherheit und Privatsphäre um. Wir gehen sogar soweit zu sagen, dass wir unseren Firmensitz in ein anderes Land verlegen würden, sollte jemals ein Gesetz erlassen werden, das Unternehmen zur Weitergabe von Nutzerdaten zwingt.”

Avira-Chef Travis Witteveen würde lieber den Firmensitz verlegen, als Nutzerdaten herauszugeben

Auch Jürgen Walter, Executive Vice President & CEO von Fujitsu Central Europe in Augsburg weiß den Deutschen Standort zu schätzen: „Da die deutschen Gesetze im Hinblick auf Datenschutz und mögliche staatliche Zugriffsrechte strikter sind als in manch anderen Ländern, sehen viele Kunden und Interessenten dies als Standortvorteil für IT-Dienstleistungen, die aus Deutschland heraus erbracht werden. Fujitsu ist in der Lage, diese wachsende Nachfrage aufgrund seiner starken Präsenz in Deutschland – inklusive eigener, hochsicherer Rechenzentren – zu bedienen. Wir sind zwar der Überzeugung, dass eine lokale Abschottung in Zeiten des immer internationaler werdenden Geschäfts unserer Kunden dauerhaft nicht der beste Weg ist, um auf Sicherheitsbedenken zu reagieren. Doch wir können – falls Kunden dies wünschen – unsere IT-Dienstleistungen ausschließlich aus Deutschland heraus erbringen.“

Den vergleichsweise hohen Deutschen Datenschutz und die Verwendung kryptographischer Verschlüsselungstechniken sieht auch Oliver Grün als Standortvorteil; der Vorstandsvorsitzende  vom „Bundesverband IT-Mittelstand e.V.“ (BITMi) und Vorstand der Aachener Grün AG sagt: „Die Digitalisierung hat insbesondere den größtenteils unvorbereiteten und bisher wenig informierten Mittelstand durch verschiedenste Akteure (nicht nur Geheimdienste!) angreifbar gemacht. Es ist sehr erfreulich, dass […] die Enthüllungen in einem ersten Schritt tatsächlich zu einem stärkeren Bewusstsein und einer erhöhten Investitionsbereitschaft für das Thema IT-Sicherheit bei europäischen Unternehmen geführt haben.“

Wer sich bezüglich „Sicherheit“ noch überfordert fühlt, könnte sich womöglich beim Linuxhotel in Essen schlau machen – Martin Gerwinski beobachtet „in letzter Zeit vermehrt Anfragen und Buchungen zu unseren Sicherheitskursen“ – „Angriffstechniken“, „Digitale Forensik“ und „Firewall“ seien als Themen an erster Stelle zu nennen.

Das erhöhte Bewusstsein schlägt sich mittlerweile in den Kassen derer nieder, die Vertrauen geschaffen haben[1]. So hat Posteo, ein Spezialist für verschlüsselte, werbefreie aber auch kostenpflichtige E-Mail-Dienste nach eigenen Angaben bereits 43.000 Kunden – und diese auch Google und Yahoo abgeworben. Vor zwei Monaten waren es erst 30.000. Seit Juni 2013 ist das Unternehmen von vier Personen auf zehn gewachsen. Zur Anmeldung ab einem Euro monatlich geht’s hier.

Die Hamburger Firma Protonet verkauft einen Server, der „so einfach wie ein Cloud-Dienst“ sein soll. In diesem kleinen Würfel steckt das „soziale Betriebssystem Protonet Soul“ – und 16 Terabytes Speicher. Mit diesem Angebot will der Anbieter „dreistellig“ beim Umsatz zulegen. Allerdings hat der Pressesprecher in seiner Mail nicht angegeben, auf welchen Zeitraum er diese Aussage bezieht.

Wer Skype nutzt, lädt womöglich die NSA zum Zuhören ein. Wer nicht ‚am falschen Ende‘ sparen möchte, könnte womöglich mit den Angeboten der IP-Telephonie-Spezialisten Auerswald oder Aastra (der 2005 die Deutsche DeTeWe übernommen hat) glücklich werden – beide werben mit der Verschlüsselung der Telefongespräche. Und wirkt sich die NSA-Affäre auf den Umsatz aus? „Es ist für uns als Unternehmen schwer, Umsatzveränderungen auf einzelne Effekte wie die NSA-Affäre zurückzuführen. Wir bekommen aber das Feedback unserer Vertriebspartner, dass sich Unternehmen in Deutschland stärker als zuvor für das Thema Informationssicherheit sensibilisiert haben. Dieser Trend ist unabhängig von der NSA-Affäre positiv zu werten. Wir empfehlen allen Unternehmen, sich bei der Implementierung von ITK-Lösungen – ob von Aastra oder nicht – von einem Systemhaus umfassend und projektbezogen zum Thema Sicherheit beraten zu lassen“, antwortet Aastra-Pressesprecher Christoph Ziegenmeyer. Auerswald äußert sich ähnlich dazu.

Sicherheitstechnisch interessant ist das ‚Fairphone‚ – seine Software (nicht die von Dritten!) ist als Freie Software unter der ‚Apache‘-Lizenz veröffentlicht – die Folge: Die Fairphone-Software darf entfernt und durch ein beliebiges anderes System ersetzt werden. Joe Mier schreibt ZDNet in einer Mail, Sicherheitsaspekte seien dem Unternehmen sehr wichtig – und die würden bei der Entwicklung des nächsten Geräts noch mehr berücksichtigt. In den Ankündigungen für das nächste Gerät steht davon allerdings noch nichts. Ebenso wenig wird die dem Kunden gebotene Freiheit fürs Marketing genutzt.

Für die Telekom nimmt Pressesprecher Philipp Blank gegenüber ZDNet per Mail in Anspruch: „Wir wollen Cybersecurity und Datenschutz weiter als Wettbewerbsvorteil ausbauen. Die Kooperation für ‚E-Mail made in Germany‘, bei der die Nachrichten verschlüsselt versendet und ausschließlich in deutschen Hochsicherheitsrechenzentren gespeichert werden, ist ein Beispiel dafür. Ein weiteres ist die Verschlüsselung von Mobilfunkgesprächen im GSM-Netz, die die Telekom als erstes Unternehmen flächendeckend in Deutschland eingeführt hat.“

Thomas Plünnecke vom Wettbewerber 1&1 meldet: „Nach den Snowden-Enthüllungen beobachten wir eine steigende Nachfrage nach Internet-Lösungen, die dem strengen deutschen Datenschutz unterliegen. Dass unsere Initiative „E-Mail made in Germany“ dem Sicherheitsbedürfnis vieler Nutzer Rechnung trägt, zeigt sich u.a. daran, dass wir beispielsweise alleine im dritten Quartal 2013 290.000 neue Nutzer für unsere Mail-Dienste haben gewinnen können.“

Der Cloudanbieter Pironet NDH wirbt mit der Zertifizierung nach der internationalen Sicherheitsnorm ISO/IEC 27001; Pressesprecher Jan Erlinghagen vermutet, dass das Unternehmen heute 20-25 Prozent mehr Kundenanfragen als vor einem Jahr erhält; Cloud Projekte seien langfristig angelegt und es verginge sicher noch Zeit, bis sich finanzielle Auswirkungen der Geheimdienstaffäre auswirkten. Den Standortvorteil ‚Deutschland‘ scheint das Unternehmen bislang nicht als Verkaufsargument zu nutzen.

Bei anderen scheint das ähnlich zu sein: Thomas Lehmann vom Niederbayerischen Server-Hersteller Thomas Krenn meint, dass „unsere Kunden zwar etwas verunsichert sind, dennoch weiter bei uns bestellen“. Darüberhinaus sei das Thema Sicherheit sei für die Hosting-Kunden wichtig: „Da kann es unter Umständen von Vorteil sein – je nach dem, was der Kunde wünscht – dass die Daten in Deutschland gehostet werden. Übermäßig viele Fragen zu diesem Thema, haben wir aber nicht verzeichnet.“

Italo Vignoli von The Document Foundation (der Organisation hinter der Bürosoftware LibreOffice) zeichnet ein ähnliches Bild: Das Interesse „an Freier Software – und LibreOffice -“ sei in den letzten 10-12 Jahren kontinuierlich gewachsen – der Geheimdienstskandal habe da aber keine sichtbare Steigerung gebracht: „Es wirkt, als ob die Menschen nicht besorgt wären über das Geschehene. Deshalb ziehen sie keine Verbindung zwischen der Verwendung proprietärer Software und ihrer Privatsphäre“.

Vignoli vermutet, dass dies eine Folge ihres historischen Vertrauens in beliebte Marken wie Microsoft und ihre „naive Einstellung“ gegenüber sozialen Medien sei: „Offenbar ist es immer nur das Problem der Anderen.“

Zumindest sollte es das Problem derer sein, die die Verantwortung tragen für personenbezogene Daten – etwa Ärzte, Anwälte, Apotheker, Architekten, Banker, Immobilienmakler, Personal-, Steuer- und Unternehmensberater oder Verwaltungsangestellte in Behörden und Versicherungen.

Christian Schaaf, früher Ermittler des Bayerischen Landeskriminalamts gegen die organisierte Kriminalität und heute Geschäftsführer der Sicherheitsberatung Corporate Trust in München, sieht es weniger kritisch als Italo Vignoli – die Firmen nähmen die Warnungen ernst und würden sich überlegen, wie sie damit umgingen; aber er sagt auch: „Unternehmen sind bislang noch nicht bereit, ihre Aufbau- und Ablauforganisation systematisch auf Sicherheit zu überprüfen und darauf aufbauend ein konsistentes Sicherheitskonzept zu erstellen – diese Einsicht muss noch kommen.“

Fazit

Viele Unternehmen verstehen den Standortvorteil, sie könnten ihn aber stärker ausspielen. Dazu müssten sie aber zunächst noch mehr Kunden vom Wert ihrer Privatsphäre überzeugen. Ob dieses Vertrauen im Einzelfall gerechtfertigt ist, sei dahingestellt. Da es sich bei diesem Beitrag um keinen Sicherheitstest handelt, kann diese Frage hier nicht geklärt werden. Der Autor wollte hier lediglich Angebote vorstellen, die nicht unter FISA fallen

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de