Staatliches Hacken in Deutschland Öffentliche Sicherheit kontra IT-Sicherheit

Der Einsatz des „Bundestrojaners“, der Hack des Telegram-Messengers und der derzeit kolportierte „Hackback“ zeigen, dass der Staat gewillt ist, zur vermeintlichen Herstellung der öffentlichen Sicherheit – unter Zuhilfenahme von Schwachstellen in IT-Produkten – zu hacken. Jedoch gefährdet er damit die IT-Sicherheit, nicht nur in Deutschland. Dr. Sven Herpig fordert klare Regeln für den verantwortungsbewussten Umgang des Staates mit Schwachstellen in IT-Produkten.

Anbieter zum Thema

Materna Information & Communications SE

Liferay GmbH

mgm technology partners GmbH

Deutschland will hacken, das wurde spätestens mit der rechtlichen Ausweitung des Bundestrojaner-Einsatzes im Juni klar. Damit der Staat „erfolgreich“ hacken kann, muss er Schwachstellen in IT-Produkten kennen. Eine Schwachstelle ist laut Bundesamt für Sicherheit in der Informationstechnik „ein sicherheitsrelevanter Fehler eines IT-Systems […]“. Dafür wurde eigens im April dieses Jahres die neue Zentrale Stelle für Informationstechnik im Sicherheitsbereich, kurz ZITiS, durch das Bundesministerium des Innern geschaffen. ZITiS soll unter anderem staatliche Akteure mit notwendigem Wissen und Fähigkeiten versorgen, um verschlüsselte Nachrichten lesen und auf Smartphones zugreifen zu können.

Ein kleiner Teil des gerade in Betrieb genommenen Bundeswehr Kommandos „Cyber- und Informationsraum“ sowie das Bundeskriminalamt, der Verfassungsschutz und der Bundesnachrichtendienst sind potenzielle Abnehmer von ZITiS. Der BND ist hiervon bisher jedoch explizit ausgenommen.

Wissen um Schwachstellen

Es ist nichts Neues, dass Sicherheitsbehörden und Geheimdienste Schwachstellen für sich behalten, um diese dann gegen ihre in- und ausländischen Ziele nutzen zu können. Wenn Behörden das Wissen um Schwachstellen für sich behalten, bedeutet dies aber auch, dass der Hersteller diese nicht beheben kann und unter Umständen weltweit eine große Anzahl von Geräten angreifbar bleibt für Dritte, die dieselben Schwachstellen für ihre Zwecke ausnutzen.

In den letzten Monaten wurde in diesem Zusammenhang viel über die amerikanischen Dienste CIA und NSA berichtet, deren Vorrat an Schwachstellen durch Wikileaks und The Shadow Brokers öffentlich gemacht worden war. Zwei dieser Schwachstellen erlangten traurige Bekanntheit als Kernelement der WannaCry und NotPetya Schadsoftware-Epidemien. Auch im aktuellen Fall der BadRabbit-Ransomware scheint eine dieser Schwachstellen ausgenutzt zu werden. Die Schwachstellen ermöglichten es innerhalb kürzester Zeit, weltweit Schadsoftware zu verbreiten und einen immensen Schaden anzurichten.

Anstatt dem Hersteller des IT-Produktes diese Schwachstelle mitzuteilen, damit dieser sie beheben kann, entschieden sich die amerikanischen Dienste dafür, diese Informationen für sich zu behalten und sie erst mit dem Hersteller zu teilen, nachdem sie bereits entwendet worden waren. Denn leider waren offenbar selbst die mächtigsten Geheimdienste der Welt nicht in der Lage, ihr Wissen über diese Schwachstellen ausreichend zu schützen.

Diese Ereignisse zeigen eindringlich, dass es sich beim Zurückhalten von Schwachstellen um ein zweischneidiges Schwert handelt. Der Staat kann sie gegen Kriminelle und ausländische Mächte einsetzen, aber jeder andere der sie kennt kann sie auch gegen den Staat und seine Bürger einsetzen. Aus diesem Grund muss der Staat abwägen, welche Schwachstellen er "für sich" behält und welche er an den Hersteller und die nationale Cyber-Sicherheitsbehörde weitergibt, damit sie behoben werden können.

Zum Beispiel könnte man sich dafür entscheiden nur die Schwachstellen zu nutzen, die dem jeweiligen Hersteller bereits bekannt sind aber die trotzdem oft noch erfolgreich ausgenutzt werden können, weil sie auf den Geräten der Benutzer noch nicht gepatcht sind. Aber wer übernimmt hier die Verantwortung? Wer kontrolliert? In Deutschland: bisher niemand.

Verantwortungsvolles Hacken

Wer als Staat verantwortungsvoll hacken will, braucht ein IT-Schwachstellenmanagement. Deutschland stellen sich dabei eine Reihe von Fragen, die kritisch diskutiert werden müssen. Ein verantwortungsbewusstes Schwachstellenmanagement besteht aus verschiedenen Phasen (Beschaffung, Bewertung und Abwägung, Verwendung und Sicherung), involviert alle beteiligten Behörden und ist mit einer Tendenz zur verantwortungsbewussten Offenlegung für die Behebung der Schwachstellen konzipiert.

Auf der nächsten Seite geht es weiter.

(ID:44988984)