Bundesheer

• bundesheer.at
• karriere.bundesheer.at
• bmlv.gv.at

Startseite - Service - TRUPPENDIENST - Folge 326, Ausgabe 2/2012

Cyber War und Cyber Defence

In den letzten Jahren haben sich neue Begriffe wie Cyber War und Cyber Defence herausgebildet. Sind diese Begriffe nur ein (Medien-)Hype, welche Gefahren stecken hinter diesen Themen und wie real ist eine Bedrohung? Ein Überblick über die Thematik soll mehr Aufschluss darüber geben sowie mit realen Beispielen einen aktuellen Status widerspiegeln.

Bereits 1983 hat der Film "War Games - Kriegsspiele" einen Bogen von der digitalen in die reale Kriegsführung gespannt. Auch wenn die Geschichte fiktiv und frei erfunden war, dient sie doch immer wieder als Erklärung und Verdeutlichung jener Gefahren, und dass auch durch einen Hacker aus Versehen fast ein Atomkrieg ausgelöst wurde. Modernere Filme wie "Sneakers - die Lautlosen" und "Stirb Langsam 4" haben die realen Auswirkungen der Manipulation von Computern zum Inhalt. Wenn man die Filmwelt verlässt und wieder in die reale Welt zurückkehrt, findet man ähnlich utopische und unglaubliche Geschichten, die von Hackern erzählen und Staaten, die sich digital bekriegen. Ein prominentes Beispiel des Cyber Spying ist die erfolgreiche Attacke Chinas gegen das militärische Rüstungsprogramm der USA (ca. 300 Milliarden US-Dollar) für den F-35 "Joint Strike Fighter" und der Diebstahl seiner Kostruktionsdaten.

Rückblick: Im April 2009 ist bekannt geworden, dass eine erfolgreiche Hackerattacke bei Lockheed-Martin stattgefunden hat. Die Eindringlinge hätten mehrere Terabyte Daten aus den Rechnern des Verteidigungsministeriums abgezogen, berichtete das "Wall Street Journal" in seiner Ausgabe. Dabei seien auch detaillierte Informationen über die elektronischen Systeme des Jets kompromittiert worden, zitierte das Blatt nicht näher genannte Regierungsvertreter. Verteidigungsexperten fürchten nun, es könnte potenziellen Gegnern leichter fallen, gegen das Militärflugzeug wirksamere Abwehrmaßnahmen zu entwickeln.

An der Entwicklung des F-35 wird seit Jahren intensiv gearbeitet. Das Flugzeug ist ein hochmoderner Tarnkappen-Kampfjet. Insgesamt 2 443 Exemplare des Vorzeige-Flugzeuges wollen die U.S.-Streitkräfte beschaffen (Eine Reduktion der Stückzahlen ist vorgesehen; Anm.). Erstmals arbeiten bei diesem Projekt mehrere Teilstreitkräfte an einem gemeinsamen Kampfflugzeug, das in verschiedenen Varianten von U.S. Air Force, Navy und Marine Corps eingesetzt werden soll. (http://online.wsj.com/article/SB124027491029837401.html) Trotz der immensen Investitionssummen haben es die Rüstungsindustrie und die militärischen Berater nicht geschafft, die Informationen über das Programm genügend abzusichern.

Ein weniger bekannter Fall ist der aktuelle Hackerkonflikt zwischen Israel und einem arabischen Staat, der einen Ausblick auf zukünftige Konflikte geben kann. Am 16. Jänner 2012 haben vermutlich saudi-arabische Hacker die Webseiten der israelischen Fluggesellschaft El Al und der Börse in Tel Aviv lahmgelegt. Die "Jerusalem Post" berichtet, sie habe per E-Mail eine Nachricht von einem Hacker bekommen, der sich selbst als "0xOmar" bezeichnet. In dem Schreiben habe er behauptet, es habe sich ihm eine Hackergruppe mit der Bezeichnung "Nightmare" (Albtraum) angeschlossen. Außerdem kündigte er an, die Websites der Tel Aviv Stock Exchange (TASE, Börse von Tel Aviv, Israel) und von El Al am folgenden Montag aus dem Netz zu werfen.

Ganz offensichtlich gelang dieses Vorhaben. Die Seite der israelischen Fluggesellschaft reagierte am Montagmittag auf Versuche, sie anzusteuern nur mit einer Fehlermeldung. Dasselbe galt für die TASE-Seite, die laut "Jerusalem Post" am nächsten Morgen wieder online gewesen sein soll. Möglicherweise reagierten die Angreifer mit einer erneuten Attacke auf die Bemühungen der Betreiber, ihre Systeme wieder online zu stellen. Der Börsenhandel sei von dem Angriff nicht betroffen gewesen, erklärte die TASE.

Die Komplexität der Problematik lässt die Medien häufig auf Sicherheitsexperten zurückgreifen, die eigene Interessen an einer Bedrohungslage haben. Die spektakulären Fälle sind immer besonders interessant, und die Vereinfachung von Problemen verschleiert leider oft die zugrunde liegenden Ursachen.

Drohgebärden

Ihren Angriff führten die Hacker demnach mit einer so genannten Distributed Denial of Service-Attacke (DDoS) durch. Dabei werden Tausende, Hunderttausende oder noch mehr Computer per Fernsteuerung angewiesen, sinnlose Anfragen an die Server des Opfers zu senden. Die attackierten Rechner werden dadurch überlastet und brechen zusammen, sind nicht mehr erreichbar. Die Besitzer der dafür genutzten PCs bemerken oft gar nicht, dass sie Teil einer solchen DDoS-Attacke sind. Ihre Computer wurden meist von einer Trojanersoftware infiziert, welche die Steuerungssoftware für solche Angriffe im Hintergrund nachlädt.

Der Hacker 0xOmar hatte bereits am 16. Jänner 2012 von sich reden gemacht. Damals hatte er die Daten von 400 000 israelischen Kreditkarten ins Netz gestellt. Banken und Kreditkartenfirmen wiesen dies umgehend ab und erklärten, es sei nur ein Bruchteil dieser Nummern tatsächlich aktuell. Außerdem seien die betroffenen Karten umgehend gesperrt worden. 0xOmar drohte weiters mit der Veröffentlichung weiterer Kartendaten und der Herausgabe der Sozialversicherungsnummern von einer Million Israelis. Der Hacker bezeichnete sich damals als Mitglied der extremistischen sunnitischen saudi-arabischen Hackergruppe "Group-XP". Der Zusammenschluss sunnitischer Muslime ist in der Vergangenheit unter anderem durch Aktionen gegen schiitische Websites hervorgetreten.

Kleinkrieg im Netz

Mit dem Angriff auf die beiden israelischen Websites eskalierte ein elektronischer Kleinkrieg zwischen pro-palästinensischen und pro-israelischen Hackern. So berichtete die News-Website von al-Arabija von einem Hacker, der sich als "0xOmer" - der ähnliche Name ist sicherlich bewusst gewählt - bezeichnet, der Daten von 217 saudi-arabischen Kreditkarten veröffentlicht haben soll. Andere Hacker, die behaupten, aus dem Gaza-Streifen zu stammen und sich als Gaza-Hackers-Team bezeichnen, haben zudem am Freitag, dem 20. Jänner 2012 ein Defacement (Veränderung) der Website der israelischen Feuerwehren durchgeführt. Statt der regulären Inhalte zeigte die Seite die Parole "Tod Israel" an. Ein israelischer Hacker, der sich Hannibal nennt, soll unterdessen die Login-Daten von 20 000 arabischen Facebook-Usern veröffentlicht haben.

Derselbe Hannibal behauptete auch, er verfüge über Daten, die ihm Zugang zu zehn Millionen arabischen Bankkonten verschaffen könnten. Noch am selben Tag erklärte 0xOmar, der "Cyber War gegen Israel" habe nun begonnen. Die Hamas applaudierte und rief die Hacker zu weiteren Aktionen gegen Israel auf, "… um den Widerstand gegen die Besatzer zu verstärken".

Gleich am nächsten Tag schlugen die israelischen Hacker zurück und griffen die Börsen in Riad (Saudi-Arabien) und Abu Dhabi (Vereinigte Arabische Emirate) an. Kampfbereit haben sich die Israelis längst schon auch dieser neuen Herausforderung gestellt. Zeitungskolumnisten erinnern daran, dass der jüdische Staat zwar klein, aber eine "High-Tech-Supermacht" sei. Die Israelis schlagen zurück - zum Beispiel in Gestalt einer Hacker-Gruppe, die sich "IDF-Team" nennt. IDF ist die englische Abkürzung für Israeli Defence Forces, die israelischen Streitkräfte, aber diese Hacker sind selbsternannte Soldaten, die aus Patriotismus in den Cyber-Krieg ziehen. "Unsere Rache wird machtvoller sein als ihre Angriffe", verkündete einer aus der Truppe, "Sie haben uns den Krieg erklärt, aber wir sind besser gerüstet." Angeschlossen haben sich dem IDF-Team ein paar Gleichgesinnte, die sich "Anonymous 972", "Nuclear" oder "Hannibal, der Hacker" nennen. Letzterer gab in einer E-Mail an den israelischen Online-Dienst Ynet ein paar verschleierte Einblicke in seine Identität. "Ich bin sehr jung", teilte er mit, "… und ich bin ein Jude, der irgendwo in der Welt lebt, nicht in Israel." Offenkundig ist es nicht das Selbstbewusstsein, das ihm fehlt: "Fürchte dich nicht, Israel, du bist in Händen des besten Hackers der Welt, und das bin ich", erklärte er und kündigte noch "ein paar gewaltige Überraschungen für die Araber" an. Die ließen nicht lange auf sich warten. Hannibal, der damit prahlt, Zugriff auf 30 Millionen E-Mail-Adressen aus der gesamten arabischen Welt zu haben, stellte zunächst eine Liste mit Namen und Passwörtern von 30 000 Facebook-Nutzern ins Netz. Die Gruppe Nuclear veröffentlichte die Details zu 4 800 saudischen Kreditkarten, und das IDF-Team übernahm die Verantwortung für eine Hacker-Attacke auf die Webseiten der Börsen in der saudischen Hauptstadt Riad sowie in Abu Dhabi. Es folgte als direkte Vergeltung für den Angriff auf die israelische Anti-Drogen-Behörde am 19. Jänner 2012 noch eine Cyber-Attacke gegen eine palästinensische Bank. "Wenn ihr eure Angriffe nicht einstellt", so drohen die israelischen Hacker, "dann werden wir eure Wirtschaft lahmlegen." Eingreifversuch der israelischen Regierung Die "Schlacht" im Netz hat eine solche Wucht entfaltet, dass ein Eingreifen der israelischen Regierung nötig wurde. Dan Meridor, Minister für Intelligence and Atomic Energy, schaltete sich mit einer ernsten Mahnung ein: "Angriffe von einzelnen israelischen Hackern auf Hacker aus Saudi-Arabien oder anderen Ländern sind ein untaugliches Mittel und sollten nicht im Namen Israels verübt werden", erklärte er. Doch auch ihm ist klar, dass sich das Land zur Wehr setzen muss. Denn es sind ja längst nicht nur die zornigen jungen Burschen, die sich mutmaßlich von ihrem Zuhause aus global in sensible Computernetzwerke hineinschleichen. Auch die Geheimdienste weltweit ziehen ihre Truppen auf diesem virtuellen Schlachtfeld zusammen. Ein Beleg dafür ist nicht zuletzt der Israel und den USA zugeschriebene Computerwurm STUXNET (siehe TD-Heft 2/2011), der dem iranischen Atomprogramm 2010 einen schmerzlichen Rückschlag bescherte.

Weltweit wird für den Cyber-Krieg aufgerüstet. Die Jerusalem Post berichtete bereits Ende 2011 von dem ehrgeizigen iranischen Vorhaben, mit einem Etat von einer Milliarde Dollar die Oberhand im Cyberspace zu gewinnen.

Doch auch Israel arbeitet an einer "Cyber Task Force" und hat bereits 300 junge Computer-Experten, zum Teil ohne Schulabschluss, für den Armeedienst rekrutiert. Denn auch wenn die Angriffe lautlos sind und ohne Blutvergießen, so sagte es eine Abgeordnete in der Knesset, könnten sie "bedrohlicher sein als jede Rakete".

"System Hack" im Wasserwerk

Beispiele wie oben zeigen der Politik auf, wo zurzeit die Grenzen liegen. Es handelt sich nicht um reale Angriffe, sondern "nur" um digitale. Diese können jedoch reale Produkte beschädigen und zerstören. Die USA haben mittlerweile eine Art Paranoia in dieser Richtung entwickelt, wie es das Beispiel des "Water-System Hacks" zeigt.

Das FBI hat im November 2011 an die Presse weitergegeben, dass ein Hacker namens pr0f den Defekt an einem Wasserpumpenwerk in Illinois verursacht hatte. Industrie-Experten haben gleich daraus geschlossen, dass diese Angriffe aus Russland kamen und dies den Beweis darstellt, dass hier ein "Großes Ding" (Big Deal) stattgefunden hat und kritische Infrastruktur bereits Ziel von Cyber-Angriffen ist. Der Sprecher des Department of Homeland Security beschwichtigte: "Zu dieser Zeit gibt es keine verlässlichen erhärteten Informationen, die ein Risiko für die kritischen Infrastrukturen oder die öffentliche Sicherheit zeigen". Laut Washington Post hätte der Hacker Störungen an dem "Supervisory Control and Data Acquisition System" (SCADA) verursacht, die bewirken, dass das System sich bis zum Defekt ständig ein- und ausschalten würde. Der Hacker selbst zeigte sich durch die Meldung so provoziert, dass er erneut in die Systeme (diesmal in Houston) einstieg, Screenshots seines Schaffens anfertigte und nachwies, dass er keinerlei Daten verändern würde. Nebenbei kritisierte er die "dilletantische Absicherung" dieser hochsensiblen Systeme. Auf der Webseite www.pastebin.com veröffentlichte er sein Manifest mit den Screenshots. In einer späteren Richtigstellung des FBI wurde auch zugegeben, dass der Hacker den Defekt an der Pumpe auch nicht verursacht hat.

Dieses Beispiel zeigt die aktuelle komplexe Situation mit ihren vielfältigen Facetten. Der Angriff wurde möglich, da einem Zulieferer ein Servicezugang zu seinen Geräten eingerichtet wurde, um die Geräte zu warten oder Software-Updates aufzuspielen. Dieses in der Industrie übliche Verfahren zur Kostensenkung ermöglicht es Hackern, solche Zulieferer anzugreifen. Die Methoden sind sehr unterschiedlich. Anfangs werden die bekannten (im Internet sichtbaren bzw. mit dem Internet verbundenen) Server überprüft. Sollte man hier eine bekannte Lücke finden, war der Hacker bereits aktiv. Alternativ sucht er nach Fernzugängen (wie Mail, Intranet, VPN), um mit Passwortlisten anzugreifen. Sollte dies nicht funktionieren, bleibt Hackern immer noch der Zugang über das Social Engineering (Übernehmen einer fremden Identität wie: "Ich bin der Assistent von Geschäftsführer XY. Wir müssen zu unserem Hauptkunden wegen eines Großauftrages und brauchen noch dringend die Unterlagen, da unser Notebook kaputt ist. Können Sie uns schnell einen VPN-Zugang freischalten, damit ich die Unterlagen holen kann". Es kann auch ein hervorragend ausgebildeter neuer Mitarbeiter der gerne lange arbeitet sein.). In diesem Fall wurden nach dem erfolgreichen Angriff auf die Kundendatenbank die Manipulationen am SCADA entdeckt. Über diesen Umweg konnte der Hacker in die Systeme des Kunden eindringen.

Die technische Seite

Mitte Jänner 2012 wurde in einer Forschungsarbeit nachgewiesen, dass bei den Herstellern führender Industriesysteme eklatante Schwächen entdeckt worden sind. Prominente Beispiele sind die Schwachstellen in den PLC (Programmable Logic Controller). Diese Geräte sind frei programmierbare Schalt- und Steuerungsgeräte zum Steuern von Schrittmotoren, Industriegeräten, Fertigungsstraßen, Fertigungsanlagen, Robotern, Förderbändern, Gebäudeautomatisation, Gleisanlagen, Ampeln, Windkraftwerken, Wasserwerken, Atomkraftwerken, Zugangssystemen etc. der Firmen

• General Electric D20ME,
• Koyo/Direct LOGIC H4-ES,
• Rockwell Automation/Allen-Bradley ControlLogix,
• Rockwell Automation/Allen-Bradley MicroLogix,
• Schneider Electric Modicon Quantum,
• Schweitzer SEL-2032 (a communication module for relays).

Eine Liste zeigt aktuelle Sicherheitslücken der PLC. Die Studie zeigt auch die Art der Gefährdung auf: Jeder Hersteller von Geräten, der diese Komponenten einsetzt ist zurzeit gefährdet (siehe Grafik S. 123).

Diese Sicherheitslücken sind erst seit der fortschreitenden Vernetzung gefährlich geworden. Je mehr Systeme miteinander verbunden werden, desto größer ist die Wahrscheinlichkeit, dass sich Fehler wie Inkompatibilitäten, Protokollfehler, Störungen etc. in diesem System befinden, da die Komponenten nur bei optimaler Abstimmung zueinander passen. Interessanterweise wird bei den Herstellern von Anlagen und Systemen viel Wert auf die physische Funktionalität gelegt. Das bedeutet, dass die hergestellten Geräte/Maschinen sehr gute Eigenschaften wie eine hohe Verarbeitungsqualität und gute mechanische Eigenschaften aufweisen. Jedoch wird bei der Software gespart bzw. es werden bevorzugt kostengünstige Experten beschäftigt oder eingekauft, die dann entsprechende Lösungen erstellen. Noch weniger Investitionen bleiben für den Bereich Konzeption, Dokumentation und Test von den Softwareanteilen übrig, die nur indirekt mit dem Produkt selbst zu tun haben.

Auch wenn die Hersteller der PLC sichere Geräte herstellen würden, ist noch nicht garantiert, dass die daraus hergestellten Maschinen oder Produkte ebenfalls sicher sind. Diese wiederum sind an Server oder weitere vernetzte Systeme gekoppelt und über das Wide-Area Network (Vernetzung der Systeme über mittlere und große Entfernungen über eigens gemietete Leitungen) oder das Internet miteinander weltweit vernetzt. Es werden immense Barrieren in den Firmen geschaffen, um die Server abzusichern. Jedoch ist hier jedes vernetzte Gerät ein potenzielles Einfallstor. Das Problem der Fehlerfortpflanzung (Jede Störung oder jeder Fehler wird im weiteren Fortschritt in der Prozesskette verstärkt bzw. addiert.) trifft hier in besonderem Ausmaß zu.

Bisher wurde seitens der Industrie diese Thematik entweder verharm-lost oder ignoriert. Ein häufiger Satz von Technologiefirmen dazu ist: "Das haben wir im Griff". Im Fall des Wasserwerkes in Illinois zum Beispiel hatten die Sicherheitssysteme keine veränderten Passwörter, sondern wurden durch die Standardpasswörter "gesichert". (Die Sicherheitskonzepte waren nicht zufriedenstellend wie in Zyklen sich verändernde Passwörter, Einspielen aller Sicherheitsupdates, Risikobewertung der Zulieferer.) Weiterhin hatte das technische Personal keine ausreichende Computerausbildung erhalten und damit auch keine Chance gehabt, die Systeme entsprechend abzusichern. Diese Problematik zieht sich durch alle Branchen, die Systemrelevanz haben:

• Stromerzeuger (z. B. das Manipulieren von intelligenten Stromzählern, STUXNET),
• Wasserversorgung (z. B. Pumpensteuerung),
• Banken (z. B. Geldautomaten, Zahlungsverkehr, Bankenkommunikationssysteme),
• Verkehrssteuerung (z. B. Schienensteuerung),
• Luftfahrt (z. B. El Al, Flughäfen),
• Polizei (z. B. Drohnenabfang, Handyortung beeinflussen, gespeicherte Vorratsdaten manipulieren, Cyber Beweismaterial fälschen),
• Militär (z. B. U.S.-Drohnenabfang durch Iran, Cyber Spionage).

In der bemannten Luftfahrt existiert seit Jahrzehnten ein funktionierendes Risikomanagement, das aber extrem teuer ist.

Das Management

Die meisten Unternehmen betreiben nur ein eingeschränktes Risikomanagement, jedoch ohne jemals ein Risikomanagementsystem oder eine Risikobewertung durchgeführt zu haben. Diese Lücken bieten Hackern oder Angreifern die Möglichkeit, Systeme zu erobern oder zu manipulieren. Das meist unterschätzte aber hochkomplexe Zusammenspiel der heutigen Technologien stellt für die Computerexperten eine fast nicht mehr zu beherrschende Hydra dar. Manche Manager hoffen durch den Einsatz komplexer Systeme wie ERP (Enterprise Resource Planning) zur Steuerung von komplexen Maschinen, diese Thematik in den Griff zu bekommen. ERP ist eine Software zur Unternehmenssteuerung. Oft wird dieser Begriff irrtümlicherweise wörtlich umgesetzt und es werden betriebswirtschaftliche und technische Prozesse vermischt. ERPs wurden ursprünglich für die betriebswirtschaftliche Steuerung ausgelegt. Die Erweiterungen und Ergänzungen, um auch technische Prozesse teilweise abbilden zu können, benötigen oft individuelle Anpassungen und damit ein individuell programmiertes ERP. Damit verliert man aber die gewünschte Standardisierung. Dieses höchst komplexe Gebilde ist in der Regel nicht mehr beherrschbar, da voll ausgeprägte ERP-Systeme (z. B. eines großen deutschen Herstellers) ungefähr 100 000 Datenbanktabellen beinhalten, die miteinander in logischer Verbindung stehen. Hier sind Auswirkungen auf ein Gesamtsystem nicht mehr bewertbar. Aus diesem Grund werden ERP-Projekte auch meist sehr teuer. Durch diesen Ansatz werden noch größere Lücken geschaffen, da diese Systeme einst für die Abrechnung entwickelt wurden und durch die laufende Adaptierung noch wesentlich anfälliger für technologische Attacken sind (z. B. da diese transaktionsorientiert arbeiten und jede Transaktion manipulierbar ist). Sollten hier Fertigungsdaten in großer Anzahl auflaufen, besteht die Möglichkeit diese anzugreifen. Durch die zentrale Verbindung mit den Abrechnungssystemen kann man hier wiederum Lücken aus beiden Systemen ausnutzen und eventuell gleichzeitig Finanztransaktionen starten. Es ist möglich, die Datenbanktabellen direkt zu korrumpieren, um zusätzliche Datensätze einzufügen, da die Systeme die Tabellen üblicherweise nur als Datenspeicher verwenden. Außerdem muss sich der Angreifer nur noch auf ein System einstellen und nicht mehr mehrere IT-Systeme beherrschen.

Gerade mittelständische Unternehmen können hier durch die fehlende Expertise zu einem Sicherheitsrisiko werden, wenn sie in diesem Bereich nicht deutlich nachjustieren. Wie die obigen Beispiele zeigen, steht diese Aufgabe ebenso den großen Konzernen bevor, die allerdings über die nötige Finanzstärke zur Anschaffung sicherer Komponenten und Systeme verfügen müssten. Auch muss die Käuferseite (Einkäufer und Kunden) bei sicherheitsrelevanten Komponenten von den Herstellern entsprechende Sicherheitsbewertungen fordern und vor allem die Ergebnisse bewerten. So etwas wird üblicherweise aus betriebswirtschaftlichen Überlegungen vernachlässigt. Damit wird der Einkauf selbst bereits zum Sicherheitsrisiko und schafft dadurch den Hackern die Möglichkeit des Angriffs, da die günstigere Komponente meist auch nicht alle Sicherheitsvorgaben erfüllen wird und kann.

Die politische Seite

Nachdem der Schutz kritischer Infrastrukturen ein abstraktes Thema ist und viele Meinungen dazu zu hören sind, kann man unter dem Begriff Cyber War und Cyber Defence jeglichen Hacker-Angriff oder die -Abwehr verstehen. Jedoch würde das eher unter den Begriff Homeland-Security passen. Die militärische Seite eines Krieges und einer Verteidigung wird jedoch wie im Beispiel Israel gegen arabische Hacker bzw. China gegen die USA völlig neue Ansätze erfordern. Es gibt mehrere Möglichkeiten, wie man aus nationalpolitischer Sicht auf die Thematik reagieren könnte, jedoch wird jede Lösung viel Geld kosten, das aus haushaltspolitischen Gründen zurzeit nicht aufgewendet wird. Die Internationalisierung erschwert das Ermitteln von Angreifern, da diese sich auch über mehrere Länder über sogenannte Proxy-Server weitervermitteln lassen, und eine weltweite Verfolgung ist meist nicht möglich, da nicht alle Behörden gleich gut zusammenarbeiten.

Ein weiteres Problem ist, dass nicht jeder Hackerangriff ein professioneller sein muss. Für viele Jugendliche ist es ein spannender Sport, in die Netze von Fremden einzudringen. Dies unter Strafe zu stellen wäre zwar eine nahe liegende Lösung, geht aber an dem eigentlichen Problem vorbei, nämlich dass das erbeutete System einfach unsicher war. Eine mögliche Lösung wäre eine so genannte "Teaching-Amnestie", indem der Hacker das angegriffene Unternehmen über den erfolgreich durchgeführten Angriff informiert und dafür straffrei ausgeht. Sollte der (jugendliche) Angreifer Vandalismus betreiben, die Website mit einem Überlasten der Kommunikationseinrichtungen stören, Daten stehlen, diese veröffentlichen oder wirtschaftlichen Gewinn anstreben, so sollte er dafür bestraft werden.

Ein wesentliches Problemfeld ist die Geschwindigkeit der Veränderung, da viele Gesetze erst nach dem Auftreten von Vorfällen verabschiedet werden können und die Entwicklung in diesem Bereich schnell durch die weltweite Vernetzung und den ständigen verzögerungsfreien Informationsaustausch stattfindet. In diesem dynamischen Umfeld Gesetze und Vorschriften zu erlassen, die bindend und doch flexibel sind und nicht die Grundrechte der Bürger einschränken, wird eine Herausforderung der aktuellen und kommenden Politikergenerationen werden.

Die Sicherheitsunternehmen

Von Seiten der Lösungsanbieter muss mit offenen Karten gespielt werden. So wird es nicht den Aus-Knopf geben, mit dem man das Internet abstellen oder den Angriffs-Knopf, mit dem man zurückschlagen kann. Die Anzahl der Experten auf dem Gebiet wird immer sehr beschränkt bleiben, da für eine Expertise eine Vielzahl von speziellen persönlichen Eigenschaften zutreffen muss. Hier werden oft falsche Hoffnungen erzeugt, indem mit optimistischen Ansätzen wie "Wir bauen eine Cyber Defence Einheit mit 400 Mann auf" oder noch besser "Wir haben die Sicherheit im Griff, wenn wir den Auftrag bekommen" argumentiert wird. Die meisten Großkonzerne im IT-Bereich können gerade eine Handvoll echter Experten anbieten, denn die Ausbildung ist langwierig und teuer. Beide Aspekte sind auch in den IT-Firmen nicht mehr akzeptiert, denn die Mitarbeiter müssen ebenso wie in jedem anderen Unternehmen möglichst schnell produktiv sein.

Ein Hacker ist noch kein Sicherheitsspezialist, ein IT-Forensiker ebenso wenig, ein Programmierer oder Datenbankdesigner nicht, ein Administrator nicht, ein IT-Architekt nicht, ein ERP-Experte nicht, ein Manager oder Betriebswirt oder ein Jurist auch nicht, ein Psychologe und ein Sicherheitsforscher schon gar nicht. Jedoch muss ein Sicherheitsspezialist, der diese Thematik in den Griff bekommen soll, von allen diesen eigenständigen Fachrichtungen über ein (möglichst) tiefes Wissen verfügen, da jede dieser Fachrichtungen einen großen Einfluss auf die Cyber Security hat.

Auf einen Blick

Das Thema um den Cyber War ist nicht wirklich neu, jedoch durch die immer weiter zunehmende Vernetzung werden die Anforderungen an alle Beteiligten einer Wertschöpfungskette immer höher. Bisher war es möglich, im Rahmen von Einzelentwicklungen und firmenpolitischen Strategien eine stetig stärkere Optimierung und Kostensenkung mit dieser Vernetzung zu schaffen. Jedoch zeigen die immer häufiger auftretenden Vorfälle, vor allem mit immer größerem Schaden, die Grenzen einer vereinfachten Betrachtungsweise auf. Um die Schadensvorfälle in den Griff zu bekommen oder zu minimieren, werden optimierte und vollständige Risikomanagementsysteme auf die Firmen zukommen. Neben den Spezialisten für die einzelnen Themengebiete ist es dringend erforderlich, gesamtheitliche, strategische und erfahrene Experten für eine übergreifende Betrachtung zu haben. Die Politik und die Unternehmensführungen werden in diesem hochdynamischen Umfeld einige Neuorientierungen vor sich haben, um auf die zukünftigen Herausforderungen reagieren zu können.

---

Autor: Dipl.-Inform. (FH) Alexander Löw, Jahrgang 1966. Wehrdienst als Sanitäter; Geschäftsführer IT-Technologieunternehmen Data Warehouse GmbH, Geschäftsführer Data-Warehouse Technologie und Management GmbH, seit 1979 IT-Erfahrung und Programmierung, Spezialisierung sichere IT-Architektur und Informationsmanagementsysteme, seit 1980 IT-Forensik Erfahrung, seit 1987 selbstständig, Studium Informatik in der Technik (FH München, Abschluss 1993), Konzern-Datenschutzbeauftragter Paritätischer Wohlfahrtsverband Bayern, Großprojekte für Deutsche Post, Deutsche Börse u. v. m., Militärische Projekte seit 2001 z. B. für Cassidian, Deutsche Bundeswehr, Eurofighter GmbH, Unterstützung IT-Einführung Eurofighter in Österreich, PLM Studie zu MKS 180 (Mehrzweckkampfschiff 180). Gründungsmitglied Smart Mobile Apps Cluster. Zurzeit Doktorratsstudium zu Psychotherapiewissenenschaften und Sicherheitsforschung in Wien.