Die wahre Intention der Geheimdienste

In insgesamt sechs Vorträgen konnten Teilnehmer an aktuellen Beispielen lernen, wie sich Sicherheitsmaßnahmen und Technologien in bestehende Systeme integrieren lassen. Abgerundet wurde der Tag mit einer Panel-Diskussion, moderiert von Rainer Rehm, Präsident des (ISC)2 Chapter Germany e.V., und mit den Teilnehmern Lars Klumpes von Oracle, Daniel Hallen von Dahamoo, Florian Stahl von Msg Systems und Ingolf Mollat von Ernst & Young.

Auf Wunsch der Tagungsteilnehmer drehte sich die Diskussion um die Spionage-Affäre. Während der öffentliche Diskurs vor allem von Themen rund um die amerikanische NSA dominiert wird, stellten Publikum und Panel-Teilnehmer die generelle Frage in den Raum, ob Vertrauen überhaupt noch möglich sei. Welche Nation genießt in Zeiten der Globalisierung mehr Vertrauen – Nation A oder Nation B? Man arbeite tagtäglich mit amerikanischen Produkten, in die chinesische Prozessoren verbaut sind, auf denen israelische Software läuft – kann man sich derart generalisiertes Misstrauen überhaupt noch leisten? Die Konturen gängiger Feindbilder, vor 30 Jahren noch klar umreißbar, verschwimmen.

Folglich stellte sich die Frage nach der wahren Intention von Geheimdiensten allgemein, gleich welcher Nation. Vielmehr als um Terrorismusprävention gehe es den Geheimdiensten um industrielle Spionage, wie es schon einige prominente Fälle in den neunziger Jahren gezeigt hätten. Auch das Whistleblower-Phänomen sei nicht neu: 2001 prangerte der Ex-NSA-Mitarbeiter William Binney bereits an, dass die NSA ihre eigenen Mitarbeiter bewusst nicht überwache, um bei rechtlichen oder diplomatischen Verstößen den Unwissenden spielen zu können.

Förderung des öffentlichen Diskurses

Fakt ist aber, so ein weiteres Ergebnis der Diskussion, dass die jeweiligen Verfassungen ihren Geheimdiensten vorschreiben, nationale politische und wirtschaftliche Interessen gleichermaßen zu schützen. Deshalb sei es gar nicht so bedeutend, wer überwache, denn dies täten alle Nationen. Wichtig sei es, das geistige Eigentum im eigenen Unternehmen zu schützen. In der Praxis bedeutet dies, auf eine Verschlüsselung aus möglichst vertrauenswürdiger Quelle zu achten und es so den Geheimdiensten schwerer zu machen, sensible Daten abzugreifen. Dies bedeutet auch, seine Provider und die im Einsatz befindlichen Produkte einer kritischen Betrachtung zu unterziehen sowie den Anbietern gegenüber Bedenken klar zu äußern, getreu dem Motto: „Trust, but verify“. Sollten Hintertüren gefunden werden, sollte man diese publik machen. So fördert man den öffentlichen Diskurs über den Status quo der IT-Sicherheit in Wirtschaft und Politik.

Laut der Panel-Teilnehmer ist es außerdem wichtig, zu differenzieren: Wo verläuft die Grenze zwischen Monitoring und Spionage? Die Nachfrage nach der Möglichkeit zur Analyse großer Datenmengen sei in den letzten Monaten enorm gestiegen. Die gute Nachricht: Physikalische und mathematische Gesetze kennen keine Ländergrenzen. Eine Möglichkeit sei es daher, selbst ein Analysetool zu entwickeln und so die Vertrauensschwelle so weit herabzusetzen, wie dies ökonomisch vertretbar bliebe. Überhaupt sei es allein aus wirtschaftlichen Gründen wichtig, sich zu fragen, was genau man aus welchen Gründen schützen wolle – welche Assets sind als Zielscheibe attraktiv und damit schützenswert? Schließlich bleibe immer ein Restrisiko, es gelte differenzierte Analysen durchzuführen, Risiken zu identifizieren und passgenau zu schützen.

Die berühmte Glaskugel

Dass niemand über die berühmte Glaskugel verfügt, bleibt dabei ein Problem – Daten, die heute unkritisch erscheinen, könnten morgen schon schützenswert sein. Hier bewahrheitet sich wohl Bruce Schneiers bekanntes Zitat: „Security is not a product, but a process“. Was kann der Einzelne also tun? Einfluss nehmen durch informierte Entscheidungen im Kleinen, sich fortbilden, aufklären und stets wieder daran erinnern, dass Verantwortung für die IT-Sicherheit übernommen werden muss – auf der politischen Bühne wie auch in den Chefetagen.