1-2013 - Public Security

Jeder USB-Stick wird durch einen „Schleusen-PC“
geprüft. Oberst Gerd Weiß vom IT-Zentrum der Bundeswehr
erläuterte die neue Sicherheitsstrategie.
Der Virus stuxnet habe den Aberglauben beendet,
dass es vom Internet entkoppelte Systeme
gebe, so Flätgen: „Wir haben USB-Sticks auf Besuchertische
gelegt und es hat gut zwei Stunden
gedauert, bis der erste Mitarbeiter den in
seinen Computer gesteckt hat, um einfach einmal
zu sehen, was sich darauf befindet.“ Die
hoch entwickelten Angriffe ausländischer Dienste
bezeichnete er als „Riesenproblem“. Das
BSI versuche, zumindest die Erkennungsrate zu
erhöhen.
Auch verlässliche IT im eigenen Lande zu
kaufen, sei heute nur noch in ganz wenigen Bereichen
möglich. Als unverzichtbar sieht Horst
Flätgen dennoch Cloud Computing: „Im Moment
wird für die Bundesbehörden eine unter unserer
Hoheit aufgebaut.“ Auch die frühere Praxis Verwaltungsbeamte
zur Verwaltung großer IT-Systeme
anzulernen, funktioniere nicht mehr,
„man braucht Informatiker“. Die nötigen Vorkehrungen
zu treffen, sei allerdings mit Kosten
verbunden: „Es gibt noch keine Kennzahlen, wie
viel man für Sicherheit ausgeben muss“, gab
der BSI-Vize zu.
Hohe militärische Priorität
Über die Erfahrungen mit Cyber Defence im
militärischen Bereich berichtete Oberst Gerd
Weiß vom Zentrum für Informationstechnik der
Bundeswehr. Die Streitkräfte sind hier nämlich
nur für ihre eigenen Systeme zuständig. Das
Computer Emergency Response Team der Bundeswehr
(CERTBw) wurde 1992 eingerichtet,
34 PUBLIC SECURITY 2-2012/1-2013
Laut Volker Lippmann verzeichnet T-Systems täglich
ca. 150.000 IT-Alarmrufe und 800 verschiedeneAngriffsquellen.
Der Konzern arbeitet an der Sicherheit
von Cloud-Lösungen und mobiler Endgeräte.
ständig weiterentwickelt und nimmt seit 2003
an multinationalen Übungen teil: „Wir stellen
natürlich auch Kräfte für die Angriffsteams“, so
Oberst Weiß. In den Verteidigungspolitischen
Richtlinien von 2011 stehen Cyber-Angriffe an
zweiter Stelle der Risikopriorität. Schon seit der
umfassenden Attacke auf Estland 2007 konzentriere
sich auch die NATO darauf.
Es habe sich gezeigt, so Gerd Weiß, dass es
am wichtigsten sei, die Nutzer zu sensibilisieren.
Dieser sei in der Regel der Türöffner, dem
man sich mit „social engineering“, also über seine
Umstände und Gewohnheiten nähere. So
werde etwa durch scheinbar bekannte Namen
und Adressen zu „Kongressen“ eingeladen, bis
hin zu Fällen, in denen der Generalinspekteur
der Bundeswehr angeblich Mails von seinem
persönlichen Account verschicke. Über 75 Prozent
der festgestellten Schadsoftware befinde
sich aber auf mobilen Datenträgern. Cyber-Module
werden laut Weiß auch in die allgemeine
soldatische Ausbildung eingebaut.
Technische Überwachung müsse auch innerhalb
des eigenen IT-Netzwerks stattfinden.
Da vollständige IT-Sicherheit dennoch nicht ereichbar
sei, müsse man zur Strategie des Risikomanagements
wechseln. Erfolgreich könne
dies nur sein, wenn national und international
mit Verwaltungen, Militär, Wirtschaft und Wissenschaft
kooperiert werde. Um Vertrauen aufzubauen,
hält Weiß den persönlichen Kontakt für
zwingend. Und der Informationsaustausch versiege,
wenn er nicht auf Gegenseitigkeit beruhe.
„Konventionelle IT-Sicherheit ist sehr ingenieurslastig“,
stellte Dr. Sandro Gaycken von der FU Berlin
fest.
Veranstalter Brigadegeneral a.D. Hans Herbert
Schulz, Green Defense @ KRS GmbH, kündigte an,
die Tagungsreihe auch 2013 fortzusetzen.
Umdenken in der IT-Sicherheit
Vor unproportionalen Reaktionen in unklaren
Situationen warnte jedoch Dr. Sandro
Gaycken, Cyber-War-Forscher an der Freien Universität
Berlin. Über 120 Länder schafften Kapazitäten
an, „die Offensiveinheiten sind im Aufbau
begriffen“. Dies sei auch für die jeweils nationale
Wirtschaft nutzbar, für Industriespionage
oder zur Finanzmarktmanipulation. Ein
aktiver Schutz gegen Angriffe sei unmöglich.
Zwar habe es bei der Verfolgbarkeit von Spuren
einige Fortschritte gegeben, dies sei aber ein
sehr mühsames Geschäft: „Ein Dienst macht
das nicht vom Ministerium aus.“ Auch passive
Schutzmaßnahmen hält Gaycken schon aus
technischen Gründen für kaum erfolgreich.
Überdies seien die politischen Entscheidungsträger
Laien, die Wissenschaft, Presse
und Industrie aber unzuverlässige Ratgeber. Positiv
hob er jedoch das BSI als „neutralen Vermittler“
hervor. Am zielführendsten sei, sich um
die IT-Hochsicherheit noch mehr zu kümmern,
so Sandro Gaycken. Die Kernsysteme der Kritischen
Infrastrukturen seien bereits relativ gut
gehärtet. Er schlägt internationale Übereinkünfte
vor. Mit einer „Zero-Day-Governance“
könne man eine gemeinsame Entdeckungsoffensive
von Verwundbarkeiten starten.
Die Berliner Fachtagung 2013 findet voraussichtlich
am 09./10. April statt. (kö) ➛