Verfasst von: markusoliver | Mai 22, 2012

Herausforderungen der nahen Zukunft


In der letzten Zeit war es hier etwas ruhiger geworden, ich hoffe das hat nicht allzu viele meiner Stammleser vergrault. Ab heute startet hier jedenfalls die neue Reihe „Herausforderungen der nahen Zukunft“. Ich werde hier auf einzelne Fachthemen eingehen.

Heute startet die Reihe mit einem Beitrag zur IT-Sicherheit.

In den letzten Jahren ist in den Nachrichten immer öfter von Neugründungen im Bereich „IT-Warfare“, „IT-Security“, IT-governmental development“ oder auch „IT-strategy consulting“ die Rede.

Alle diese Begriffe meinen im Grunde dasselbe. Die Staaten sind bemüht, Ihre „Angriffskapazitäten“ im Bereich der Informationstechnologie auszubauen. Der Grund liegt darin, dass es einfacher ist durch Angriffsmöglichkeiten abzuschrecken, als durch Verteidigungsmöglichkeiten eine effektive Verteidigung vorzuhalten. Denn es ist ja klar, dass durchdachte Hackerangriffe als solche erst einmal erkannt werden müssen und wenn man sie erkannt hat, man dann immer noch nicht weiß, WER überhaupt der Angreifer war. Denn die Server können ja auch im Kongo stehen. Also versucht man selbst Angriffskapazitäten aufzubauen die jeden potentiellen Angreifer klar machen sollen, dass er selbst auch zum Opfer werden kann.

Ein „führender IT-Sicherheitsexperte“ (Selbstbeschreibung) namens Sandro Gaycken berichtete neulich auf einem Vortrag, dass die IT-Technologie ein gutes Mittel für Dritte-Welt-Staaten sein, durch asymetrische Kriegsführungspotentiale Machtpotentiale aufzubauen, die ganze Armeen wertlos machen könnten. Ich halte diese Einschätzung für falsch, denn Machtpotentiale verschieben sich nicht groß, die Informationstechnologie ist nicht wirklich asymetrisch. Seine Fehleinschätzung rührt vielleicht auch daher, dass er selbst gar nicht so viel von Technik versteht, wie er seinem Publikum vorzumachen versucht. Aber bitte denken Sie an meine Worte, wenn irgendeiner dieser Leute wieder von der Gefahr der Asymmetrie spricht. Wer viele Forscher und viel Geld hat, kann auch im Bereich der Informationstechnologie überragend agieren. Die Machtpotentiale bleiben eher gleich, ich denke das Machtgefälle verschiebt sich durch diese Technologien sogar noch weiter zu Gunsten der Industrienationen. Denn in diesem Bereich ist alles teuer.

In einem vertraulichen Gespräch berichtet mir ein anderer – aber wirklicher führender – Experte neulich, dass er bei jeder Konferenz mindestens drei Angebote erhalte für uns feindlich gesinnte Mächte als Programmierer tätig zu werden. Die Angebote seien dabei überaus großzügig: Unter 1 Million Euro im Jahr würden die Leute sich gar nicht mehr trauen vorzusprechen. Einzig die möglichen Konsequenzen hielten ihn davon ab sich eines dieser lukrativen Angebote zu angeln. Er selbst hat nämlich Familie und er möchte nicht in einem dieser Autos sitzen, an denen von außen eine Haftmine angebracht wird. Die Grund für unser Gespräch war dann auch, dass dieser Experte von mir wissen wollte, wie hoch denn die Gefahr sei für so etwas umgelegt zu werden. Im Gegenzug zeigte er mir ein paar Tricks, aber nichts spektakuläres. Nichts, von dem ich nicht schon ahnte, dass es möglich sei.

Die Gefahr für ihn umgelegt zu werden schätze ich übrigens als gering ein. Viel dringender ist die allgemeine Belästigung, die mit so einem Job einhergeht: Man kann nicht mehr frei reisen, wird ständig von Behörden schikaniert (Finanzamt und ähnliches) und hat die Angst im Nacken. Das alleine reicht meines Erachtens schon aus, von so einem Job Abstand zu nehmen. Allerdings hat auch dieser Abschreckungseffekt Grenzen. Und irgendwann sind diese Grenzen erreicht, wenn die anderen nur genug bieten, werden sich diese Leute auch auf entsprechend hohe Gefahren einlassen. Deutschland wird sich daher überlegen müssen, ob bloße „Zulagen“ bei Anwendung der Bundesbesoldungsordnung wirklich noch ausreichend sind, entsprechendes Personal zu bekommen. Ich meine nicht.

Anders als man in den Medien vermittelt bekommt, ist es übrigens nicht der typische „Hacker“, von dem die großen Gefahren ausgehen. Das ist populärwissenschaftlicher Unsinn.

Wirklich große Bedrohungen gehen heute durch Mitarbeiterinfiltration und durch manipulierte Hardware aus. Das lassen sie an dieser Stelle bitte erst einmal sacken und führen es sich richtig gut ins Bewusstsein ein. Vergessen sie „Hacker“ und machen Sie sich klar, dass die Probleme ganz woanders liegen, denn die meisten sicherheitsrelevanten Systeme hängen eh nicht am Internet:

In Unternehmen eingeschleuste Informanten sind sicherlich die allergrößte Bedrohung, weil sie dort nicht nur wichtige Informationen abziehen, sondern bestehende Informationen auch noch manipulieren können. Sabotage auf hohem und kaum noch zu erkennenden Niveau. In dem Bereich der Informationstechnologie sind Datenveränderungen derart schädlich, dass sie selbst bei kleinen Veränderungen schnell Verzögerungen von Monaten verursachen können. In der Entwicklung dieser Technologien bedeuten derartige Verzögerungen aber schnell das Zurückfallen für Jahrzehnte.

Ein anderes aber auch ziemlich gefährliches Mittel ist die Infiltration von Hardware. Die Spionage in diesem Bereich spielt sich auf einer Ebene ab, die nur noch Experten überhaupt erahnen, geschweige denn erkennen können. Da werden Chipsätze manipuliert und auf Zielrechnern verwendet. In Kombination mit eingeschleusten Mitarbeitern ist es dann zum Beispiel möglich einen Nachrichten-Laser an den jeweiligen Rechner anzuschließen und die Informationen durch eine Fensterscheibe nach außen zu senden.

Die Datenübermittlung dauert nur Millisekunden!

Will man derartige Hardware erkennen braucht man dazu Spezialisten. Und auch derartige Ingenieure für Elektrotechnik lassen sich heutzutage nicht zu Sätzen nach Bundesbesoldungsordnung finden.

Deutschland und die EU haben dabei das besondere Problem, dass Hardware hier kaum noch produziert wird. Strategisch äußerst wichtige Unternehmen wie AMD kämpfen seit Jahren ums Überleben, obwohl es auch dem dümmsten Politiker einleuchten müsste, dass die Produktion von Chips der Ansatz für Spionage im Hardwarebereich schlechthin ist. Denn wer die Produktion bestimmt, bestimmt was auf die Chips an „Firmware“ drauf kommt. Diese Firmware wird jedoch immer komplexer. Je komplexer die Firmware wird, desto weiter werden Deutschland und die EU im Spionagekrieg zurückfallen. Es ist daher sowohl für Deutschland als auch für die EU überlebenswichtig (!) Unternehmen wie AMD hier am Leben zu halten. Mehr noch: Sie müssen massiv subventioniert werden. Denn nur wer hier vorne liegt, wird sich behaupten können. Für GATT und ähnliches, für Subventionsbeschränkungen aller Art, ist in dieser Frage kein Raum. Der Markt wird dieses Problem nicht lösen. Deutschland muss die Hardwareindustrie gewaltig fördern, will es nicht schon in wenigen Jahren ein gewaltiges Problem mit der IT-Sicherheit bekommen. Leider ist dieses Problem bislang weder von den Medien noch von der Politik erkannt worden. Das ändert aber nichts daran, dass diesbezüglich hier die Hütte brennt.

Gleichzeitig stehen die Geheimdienste vor einer neuen Herausforderung, an der sie schon beim NSU gescheitert sind: Sie müssen ihre eigenen Informationen vernetzen und sie brauchen Personal, das völlig neuartige Informationsflüsse erfassen, leiten und richtig deuten kann. So braucht es zum Beispiel eine Datenbank über Personen, die in Sachen IT-Sicherheit gefährlich werden können. Gleichzeitig brauchen sie Leute, die mit einschlägigen Fachbegriffen umgehen und wenigstens halbwegs zuordnen können, wer im Zusammenhang mit was eigentlich wann, wo und wie ein Sicherheitsproblem darstellen kann. So viele Experten, dass man diese nicht überblicken könnte, sind es dann auch wieder nicht. Es geht hier um ein paar tausend Personen, zu denen ständig welche dazustoßen und auch ständig welche abwandern, weil sie beispielsweise irgendwann aufhören sich fortzubilden oder in den Vertrieb wechselten. Diese Datenbanken müssen gepflegt werden und auch dazu braucht man wieder Leute mit Ahnung.

Das werden die heute verwendeten Apparatschicks aber nicht können. Denn dazu fehlt das zwingend erforderliche Fachwissen.

Wenn ich dann noch darüber nachdenke, dass man diese Behörden auch noch gegen Gegenspionage abschirmen muss und wir es noch nicht einmal schaffen AMD erfolgreich zu machen, tja, also dann… dann kann man schon die Hoffnung verlieren.

Fassen wir also kurz zusammen:

  • Gebraucht ist eine Datenbank über IT-Spezialisten mit Gefährdungspotential
  • Die Förderung der heimischen IT-Industrie
  • Eine spezielle Spionageabwehr
  • Und eine Besoldung der Experten, die mithalten kann

Wir haben nichts von alledem. Es gibt viel zu tun.

Nachtrag: Wie dringend das Problem ist, sieht man auch am aktuellen Artikel auf Spiegel Online über gefälschte Chips in US-Waffensystemen. Übrigens erschien dieser Artikel am selben Tag wie meiner, nur einige Stunden später!


Responses

  1. Kann es sein, dass Du AMD, eine amerikanische Firma, mit Infineon (eine Ausgründung von Siemens, Sitz irgendwo bei München) verwechselst?

    Das z.B. in China hergestellte Festplatten und Festplattencontroller bereits mir Bootsektorviren und ähnlichen Hintertüren ausgeliefert werden, ist schon lange bekannt. Wo staatliche Behörden und Großkonzerne eventuell gegenarbeiten können, ist der Industriespionage jedoch Tür und Tor geöffnet.

    http://www.zdnet.de/news/39159024/seagate-bestaetigt-virus-auf-festplatten.htm

    • Ne, natürlich ist AMD ein US-Unternehmen. Aber bei Produktionsstandorten kann man natürlich dafür sorgen, dass know how im Land und geheim bleibt. Man muss dann nur bestimmte Abteilungen ausgliedern.

  2. Chapeau, MO, super Artikel. Habe das Thema schon lange auf dem Radar. Nicht erst seit Clancy´s „Netforce“. Habe übrigens in den 80ern schon Programmierercracks beim backdoors-einbauen erwischt. 😉

  3. Aber zu Deinen Schlußfolgerungen.

    Gebraucht ist eine Datenbank
    Was für eine? Nimm eine leistungsfähige aus Amiland und schon hast Du den Mist in der Tüte. Oracle & Co sind schlimmer als Facebook. Spyware.

    Die Förderung der heimischen IT-Industrie
    Gibts mehr als genug, das ist das Prob. Die Tigerentenyuppies kommen dann auf Dummheiten, wie Du richtig beschrieben hast.

    Eine spezielle Spionageabwehr
    Äh, haben wir das denn noch nicht? *GANZLAUTLACH*

    Und eine Besoldung der Experten, die mithalten kann
    Kenne ne Menge Experten, deren Nasen schon längst vergoldet sind.


Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

Kategorien

%d Bloggern gefällt das: