Zur Dokumentation: Seehofer und die „aktive Cyberabwehr“
Die Abwehr dessen, was ein wenig unscharf Cyberangriff genannt wird und vor allem Angriffe auf die Informationstechnischen Systeme von kritischen Infrastrukturen meint, ist in Deutschland in der Regel keine Aufgabe der Landesverteidigung und damit auch nicht der Bundeswehr – deshalb ist das hier auf Augen geradeaus! meist unter dem Radar. Dennoch empfiehlt sich bisweilen ein Blick auf das, was von der Exekutive da geplant wird, weil es natürlich Bezugspunkte zur äußeren Sicherheit gibt.
In der jüngsten Spezial-Ausgabe des Podcasts Sicherheitshalber hatten wir mit der Expertin Isabel Skierka genau darüber gesprochen, und deshalb gehört zur Dokumentation auch das hierher: Die Aussagen von Bundesinnenminister Horst Seehofer zu den Plänen – zunächst seines Ministeriums, nach seiner Hoffnung dann auch der gesamten Bundesregierung – für eine aktive Cyberabwehr. Bis zur Möglichkeit deutscher Behörden, quasi im Gegenschlag aktiv gegnerische IT-Infrastruktur anzugreifen.
Die Aussagen des CSU-Ministers dazu waren in der vergangenen Woche Teil seiner Ausführungen in der Pressekonferenz zur politisch motivierten Kriminalität und sind deshalb vielleicht ein bisschen untergegangen (nur die Kollegen vom ZDF haben, so weit ich das sehe, das gezielt aufgegriffen).
Zur Dokumentation die entsprechenden Passagen aus der Pressekonferenz vom 14. Mai 2019 zum Nachhören (ich habe das zusammengeschnitten und die unterschiedlichen Teile durch einen Signalton getrennt):
Die Forderungen des Innenministers nach der Möglichkeit eines Hackback sind inhaltlich nicht neu; der recht exakte Fahrplan ist allerdings ein wenig überraschend. Neu war für mich dagegen seine Aussage zur Bekämpfung hybrider Bedrohungen:
Das Kanzleramt hat uns jetzt auch noch als Innenministerium für zuständig erklärt bei dem Stichwort hybride Bedrohungen. Auch das ist eine Aufgabe, die wir ab sofort wahrnehmen, wo mit Pressepropagnda und Falschinformation und Angriffe aufs Internet also Mehrfachbedrohungen stattfinden. Und wir werden das jetzt unter der Führung von Herrn Staatssekretär Kerber annehmen, auch für Verteidigungsministerium und so weiter. Also hybride Bedrohung koordiniert im Innenministerium.
Ich bin gespannt auf die Abgrenzung, wenn es zum Beispiel – erneut – Propagandaangriffe auf das deutsche Kontingent in der enhanced Forward Presence-Aktivität der NATO in Litauen gibt.
(Foto: Bundesinnenminister Horst Seehofer, CSU, aufgenommen im Rahmen der Bundespressekonferenz zu ‚Fallzahlen fuer die Politisch Motivierte Kriminalitaet (PMK)‘ in Berlin, 14.05.2019. – Florian Gärtner/photothek.net)
Wir benötigen eine europäische Antwort auf die Angriffe von Außen. Hier so zu tun als ob wenn man bei Russland die Möglichkeit hätte IT durch die Bw zu zerstören, dann wäre vieles gut.
Die USA, China und Russland werden alles versuchen zu nutzen was möglich ist. Unsere Aufgabe sollte es sein, den Gegnern möglichst wenig Gelegenheit zu geben. Doch Europa ist offen wie ein Scheunentor.
Wir benötigen eine europäische Ressilienz und das Bedeutet, wir benötigen ein gehärtete Netz und eigene Suchdienste uvm.
Russland, China haben dies erkannt und die USA jetzt bei 5G.
Ob die Bw jetzt im Frieden aktiv Kriminelle bekämpfen darf ist eine Grundsatzfrage, doch im Ergebnis so oder so für die Bekämpfung fast unbedeutend. Für unser Verständnis in unseren Grundrechten hoch bedeutend.
Wir hatten doch in der analogen Welt ein Post- und Fernmeldegeheimnis. Wenn ich mich richtig erinnere ist dies so gar grundgesetzlich geschützt.
Wenn man früher, also vor dem Internetzeitalter, ein Telefon abhören wollte, dann brauchte man dazu eine richterliche Genehmigung. Diese richterliche Genehmigung wurde sehr restriktiv gehandhabt. Illegal abgehörte Telefonate wurden als Beweismittel vor Gericht nicht zugelassen (soweit mir das bekannt ist).
Warum sollte man eine Ende zu Ende Verschlüsselung machen, wenn der Staat doch jederzeit mitlesen kann ?
Ein ohne Genehmigung aufgezeichnetes privates Gespräch ist nach StGB immer noch ein Straftatbestand, aber der Staat möchte möglichst viel mitlesen ?
Vielleicht wählen die Nutzer gerade Threma um auch nichtöffentliche schutzbedürftige Daten austauschen zu können, z.B. Gespräche zwischen Ärzten über Krankheitsdaten von Patienten ?
Okay, ich seh schon dies führt weg vom Thema. Aber in den Einschränkungen von Bürgerrechten waren die Innenminister schon immer sehr engagiert !
Hoffentlich stoppt Karlsruhe dieses Vorgehen des Innenministers. Würde gut zum 70 jährigen Jubiläum unserer Grundrechte passen !
Es ist nicht sehr wahrscheinlich, dass ein gut geplanter gezielter Angriff unmittelbar auf einen Verursacher zurückgeführt werden kann. Mit etwas Glück dann irgendwann im Nachhinein vielleicht. Dann wird aber nicht mehr Abwehr das Ziel sein können. Ein auf Eskalation ausgelegtes Engagement wird vorrangig die ihm gefährlichsten Gegner zu Beginn ausschalten wollen, um dann ungestört seine Wirkung zu entfalten. Dieses Vorgehen hat sich in der konventionellen Art ja auch bewehrt.
So sollten Überlegungen zu verschiedenen Szenarien auch unterschiedliche Reaktionen auslösen können. Je größer ein Angriff ist, desto leichter lässt er sich zuordnen. Begleitende Maßnahmen anderer Art sind ein, wenn auch nicht sicherer, Anhaltspunkt.
Überlegungen zur Prävention sind sinnvoll und bedürfen unserer Aufmerksamkeit genauso wie das realistische Einschätzen der eigenen Möglichkeiten. Welche Chancen bestehen? Wie groß ist das vorgehaltene Potential?
Gut erscheint es mir dann, wenn sich die Strukturen mindestens gegenseitig unterstützen oder ersetzen können, besser sie sind miteinander verwoben und redundant. Nur ist gutes Wissen und Expertise in diesem Bereich nicht uneingeschränkt verfügbar und auch nicht unbedingt gezielt oder geplant hervorzubringen.
Voraussetzungen kehren sich mitunter um und Konventionen verlieren ihre Bedeutung. So sollte also eine ernstgemeinte Begegnung dieser Gefahr auch diese Andersartigkeit mit berücksichtigen.
Wenn also die Verordnung für ein Ressort schwierig ist, dann ist es vielleicht ein eigenes Ressort?
@Fehlbesetzung
Alles was Sie schreiben Zrifft auch auf die Analoge Kriminalität und militärisches Handeln zu.
Deshalb sehe ich nicht, worin der Unterschied in den gesetzlichen Grundlagen sein soll und da würde uns auch kein neues Ministerium helfen.
Solange das Internet, die Hard- und Software in Europa nicht ressilient ist, hilft eine Nachsorge nicht weiter.
Die Bw muss sich darauf einstellen, dass in einer mandatierten Mission oder einem Einsatz die Mittel und Möglichkeiten vorhanden sind um dem Auftrag gemäß GG gerecht zu werden.
Für den Frieden/Grundbetrieb ist das BMI zuständig.
Der viel wichtigere Aspekt für die Bw sollte sein, dass sie ausreichend gegen Sabotage gehärtet ist. Das ist mE noch lange nicht der Fall und für die BRD sollte dies Aufgabe des BMI sein. Das muss nicht immer eine digitale Lösung sein, kann auch mal mechanisch/physisch erfolgen ;-)
Die BRD muss Kompetenzen und Fähigeiten aufbauen und beherrschen für die Anwendung haben wir ein sehr gutes GG.
Die Frage wer darf überwacht werden, sollten auch im digitalen Zeitalter die dafür vorgesehenen Personen nach rechtlicher Prüfung entscheiden.
Würde man sich vorstellen, dass alle Briefe kopiert und Archivieren werden, um später mit richterlicher Anordnung Strafverfolgung zu betreiben würde man erkennen, was da jetzt gefordert wird…….und mE falsch läuft.
Solange es ein Gerangel um Kompetenzen gibt, wird es uns nicht gelingen, ein glaubhaftes Potential aufzubauen. Welches dann auch in der Lage wäre eine glaubhafte Option darzustellen. Abschreckung lebt doch von ihrem Drohpotential.
Ich glaube nicht, dass irgendetwas von dem was ich schrieb auf Kriminalität zutrifft. Kriminalität ist geprägt vom Gewinnstreben, zumindest mal organisierte Kriminalität. Ihr Ziel ist nicht die Zerschlagung von Strukturen, das wäre mir neu. Ich nehme mal kriminelle politische Systeme aus dieser Betrachtung heraus.
Wir haben keine Technologien auf die wir ausweichen können. Die Dinge sind wie sie sind.
Gegen Sabotage ist niemand ausreichend gehärtet, und es wäre auch falsch das zu versuchen. Zwischen Sicherheit und Fähigkeit ist stets abzuwägen, am sichersten ist ein System dann, wenn es gar nicht betrieben wird. Allerdings hat es dann auch keinen Nutzen.
Die BRD kann keine Fähigkeiten aufbauen, das können nur Menschen, und solange wir unsere Kräfte zersplittern, haben wir keine Chance. Wie so oft, hinterher werden uns findige Leute dann sagen, warum es so hat kommen müssen. Nur vorher, da will es keiner hören …
Vielleicht sind die Antworten des 20 Jahrhunderts nicht passend für Fragen des 21. Jahrhunderts. Wer aufhört besser werden zu wollen, hat aufgehört gut zu sein, und für die Bw ist das fürwahr eine zutreffende Zustandsbeschreibung.
Der Minister kann ja viel fordern, seine Mittel sind auch begrenzt und würden nur zur Kriminalitätsbekämpfung verwendbar sein, eine militärisch motivierte Bedrohung begegnen sie damit nicht.
Und wie schützt uns dann das BMI im Frieden/Grundbetrieb? Diese Aussage verstehe ich nicht. Wie findet die Prävention statt? Wo werden Mittel zur Operationsführung gebildet? Wie bettet sich das in die Strukturen der Streitkräfte ein und wo greifen sie ineinander?
Ich sehe ihren Punkt, sie sind aber trotzdem übers Ziel hinaus.
Klar ist, wenn wir keine Fähigkeiten entwickeln, dann haben wir keine. Alles Andere ist Unsinn.
Mir wird hier zu sehr Sicherheit mit Strafverfolgung gleichgesetzt.
Natürlich darf Strafverfolgung im Netz nur nach dem Post-/Fernmeldegeheimnis vergleichbaren Standards erfolgen.
Aber Sicherheit und Gefahrenabwehr einerseits und nachrichtendienstliche Tätigkeit andererseits sind doch etwas komplett anderes.
Nicht umsonst gelten für Nachrichtendienste und Armeen in ihrem „Spielfeld“ auch in der analogen Welt andere Gesetze, Regeln und Maßstäbe wie für Polizei und Staatsanwaltschaft.
Warum sollten wir Nachrichtendienste und Streitkräfte also in ihrem Bereich im digitalen Feld anders behandeln und Regeln unterwerfen, die gar nicht für sie passen?
@Fehlbesetzung
Ein gesetzesverstoß ist kriminell unabhängig davon ob er politisch oder gewinnorientiert ist.
Wirkung und Motivation sollte man nicht verwechseln.
Wenn wir uns schützen wollen, dann müssen wir uns gegen die Wirkung schützen. Strafverfolgung und Rache helfen bei politisch motivierten Straftaten eher weniger.
Es bleibt in unserem jetzigen Gesetzesrahmen zuerst Aufgabe des BMI und wer glaubt dass der Gegner im 20Jahrhundert immer sichtbar und klar lokalisierbar war hat sich nie mit Sabotage beschäftigt. Wer dies jedoch tut, wird feststellen, dass man da sehr viel Antworten für das 21 Jahrhundert finden wird.
Ob die Fähigkeit zur Sabotage (Androhung einer Sabotage für Erpressungen) politisch oder finanziell motiviert ist, spielt eher keine Rolle. Das BMI muss diese Kompetenz und das Wissen darüber in jedem Fall haben, wie es angewendet werden darf bestimmt der gesetzliche Rahmen.
@Koffer
Warum sollten wir Nachrichtendienste und Streitkräfte also in ihrem Bereich im digitalen Feld anders behandeln und Regeln unterwerfen, die gar nicht für sie passen?
Ist das so? Warum passen die jetzigen grundsätzlichen Regeln nicht? War es einem anderen Staat (DDR) nicht möglich im Frieden in unsere Wasserversorgung einzugreifen um dies im Krieg zu nutzen?
Die Welt ist die Welt und Kriege/Konflikte wurden schon immer auf allen Ebenen geführt und auch der Krieg im Kommunikationsbereich ist nicht neu, nur die Werkzeuge sind andere.
Wir müssen zur Kenntnis nehmen, dass die Blockchain-Technologie, KI, Quantenrechner, 5G, micro-SAT-Com das Internet von einer 2.0- auf eine 3.0-Version befördern wird. Diese Beförderungen wird wieder neue Wirkungsmöglichkeiten und Werkzeuge schaffen und vieles davon können wir uns heute nicht vorstellen. Deshalb ist es so wichtig, dass wir an unseren Grundfreiheiten, der FDGO festhalten. Ein Militär welches im Frieden im Netz nicht nach unserem Gesetz agiert in den Händen einer neuen ggf nicht liberalen Regierung ist ein Horror.
Wir müssen uns schützen und das Netz sicher machen und das ist nicht zuerst eine militärische Frage.
Nur mal so zur aktiven „Cyberwehr“…
New York Times gestern: „In Baltimore and Beyond, a Stolen N.S.A. Tool Wreaks Havoc“.
Es geht um Eternal Blue. Das ist eine Software, mit der die NSA mehr als fünf Jahre lang in Windows-Systeme einbrach, bevor sie die dafür genutzte Sicherheitslücke 2017 an Microsoft meldete. Leider zu spät: im gleichen Jahr wurde die Software geleakt und Kriminelle erpressten Geld damit (WannaCry-Ausbruch).
Nun trifft es amerikanische Städte: Baltimore leidet unter Verschlüsselungs-Trojanern, die Tausende von Rechnern lahmgelegt haben. Gerade die Städte und Gemeinden haben ja eher veraltete, ungepatchte Systeme.
Toll gemacht: um des offensiven Hackens Willen die eigene Bevölkerung ans Messer geliefert. Denn Hintertüren und Sicherheitslücken stehen eben allen offen, auch dem Gegner. Nach dem Leak haben sich übrigens Akteure aus Nordkorea (WannaCry, weltweit), Russland (NoPetya, gegen die Ukraine) und Iran (lokales Hacken im Nahen Osten) über diesen auf dem Silbertablett überreichten Zugang zu fremden Systemen gefreut. Proliferation ist bei „Cyberwaffen“ unausweichlich.
Und wenn man absichtlich Verschlüsselung schwächt (Seehofers Überlegungen zu Messengern, 5G-Debatte), dann untergräbt bzw. sabotiert das die eigene IT-Sicherheit. Punkt.
(Ich hatte gestern schon dazu kommentiert, inklusive einer Story Navy hackt Air Force. Ist vielleicht wegen der Links rausgeflogen?)
[Nein, tut mir leid, ist im Spamordner nicht zu finden; auch nicht dort, wo Kommentare mit mehr als zwei Links in Quarantäne gehen. Aber scheint nicht abgesandt? T.W.]
@Zimdarsen | 26. Mai 2019 – 12:25
„Deshalb ist es so wichtig, dass wir an unseren Grundfreiheiten, der FDGO festhalten.“
Zustimmung (mal davon ab, dass ich die Gleichsetzung von Grundrechten und FDGO hinterfrage).
Aber gerade das ist ja gar nicht der Punkt.
Wirksame gesamtstaatliche Sicherheitsvorsorge auch gegen digitale Angriffe ist eine Aufgabe des Staates. Sich dieser Aufgabe zu verweigern schwächt im Ergebnis die FDGO (und die Grundrechte) noch viel mehr.
„Ein Militär welches im Frieden im Netz nicht nach unserem Gesetz agiert in den Händen einer neuen ggf nicht liberalen Regierung ist ein Horror.“
Wieso sollte die Bw sich nicht an Recht und Gesetz halten?!
„Wir müssen uns schützen und das Netz sicher machen und das ist nicht zuerst eine militärische Frage.“
Zustimmung.
Aber eben auch.
@Koffer
„Deshalb ist es so wichtig, dass wir an unseren Grundfreiheiten, -und- der FDGO festhalten.“ Nach manche Lesart sind die Grundfreiheiten ein Bestandteil der FDGO. Aber daran soll es nicht liegen.
„Wirksame gesamtstaatliche Sicherheitsvorsorge auch gegen digitale Angriffe ist eine Aufgabe des Staates. Sich dieser Aufgabe zu verweigern schwächt im Ergebnis die FDGO (und die Grundrechte) noch viel mehr.“
Es geht nicht um das Verweigern! Deutschland und Europa soll sich der Sicherheitsvorsorge nicht verweigern.
Ich sehe das weniger dogmatisch als sie, und ich finde es schützender, wenn die Konsequenz der Tat den Willigen davon abhält sie zu begehen. Und ich glaube, dass unser Strafgesetz auch ein wenig auf Abschreckung setzt, zumindest fühlt es sich so an. Wir stellen Strafbewährtes unter Strafe und versuchen dadurch einen Schutz gegen die Motivation des Kriminillen zu erreichen. Sehen sie das anders?
Schutz gegen die Wirkung ist dann der zweite Baustein hierbei. Schutz ist leider ein aufwendiges Unterfangen und wird dem Prinzip von Aufwand und Nutzen unterworfen. Sie können nur einen gewissen Schutz aufbauen, der ist vielleicht gegen Gelgenheitstäter ausreichend, gezielte Angriffe sind beinahe nicht aufzuhalten, aber sie können entdeckt werden. Aufwand erzeugt Auffälligkeit.
Von mir aus soll das BMI doch die Verantwortung haben, ich wäre gar nicht scharf darauf. Wenn das so entschieden ist, was ja so zu sein scheint, dann sollte man eben überlegen welche Bedeutung das hat, was damit nicht geleistet werden kann.
Nun hat man zum Schutz der Europawahl die NATO um Unterstützung gegen Bedrohung aus dem Internet ersucht, das ist gut. Ich traue aber genau solch eine richtige Einschätzung in der gegenwertigen politischen Landschaft den Verantwortlichen nicht zu. Meine Meinung.
Die Motivation spielt eine ausserordentliche Rolle, die Verhaltensanalyse zielt auf die Motivation ab und sucht in ihr die bestimmenden Eigenheiten, die der Tat zugrunde liegen.
@Zimdarsen
Es mag sie überraschen, es gibt Menschen, die mit Verantwortung umgehen können, die Recht und Gesetz beachten und ihm auch die eigenen Urinstinkte unterordnen und bereit sind dafür zu kämpfen. Natürlich sollte man achtsam sein, weil man sie nicht an einfachen Dingen erkennt … leider.
@Sascha und Amsel:
Sie mit Ihren vernünftigen Vorschlägen… Wohl zuviel CCC-Propaganda gehört. :-)
@Frage, ob Cyberangriffe Kriegshandlungen sein können:
Laut Frank Rieger (Sprecher CCC) wollte Maersk sich die entstandenen Schäden durch NotPetya 2017 von ihrer Versicherung erstatten lassen. Diese will aber nicht zahlen und beruft sich auf die Klausel, dass Schäden durch (Bürger-)Kriege nicht abgedeckt sind…
https://www.youtube.com/watch?v=IKjlzy4gSVw
@K.B.
BSI-Präsident Arne Schönbohm: „Nach ersten Erkenntnissen des BSI handelt es sich um eine Angriffswelle mit der Schadsoftware Petya, die unter anderem die gleiche Schwachstelle ausnutzt, die sich auch die Ransomware WannaCry zu Nutzen gemacht hatte. Das Patchen dieser Schwachstelle mit dem seit Monaten verfügbaren Microsoft-Patch hätte in vielen Fällen eine Infektion verhindert. In internen Netzen benutzt Petya zusätzlich ein gängiges Administrationswerkzeug zur Weiterverbreitung und kann damit auch Systeme befallen, die auf aktuellem Patchstand sind. Angesichts der akuten Bedrohungslage rufen wir die Wirtschaft erneut dazu auf, die Risiken der Digitalisierung ernst zu nehmen und notwendige Investitionen in die IT-Sicherheit nicht aufzuschieben.“ (BSI)
Hier wurde ein Werkzeug für Kriminelle Handlungen verwendet welches angeblich von RUS entwickelt wurde um die Ukraine zu destabilisieren.
Wird die Aktion dadurch zu einer kriegerischen Handlung?
M.E. nein, denn wer bei einem Banküberfall ein G36 verwendet mach den Überfall nicht zu einem Krieg.
Die meisten Werkzeuge für digitale Kriminalität stammen aus den USA aus staatlichen Institutionen die diese Mittel entwickelten um in andere Staaten eingreifen zu können (Sabotage). Ist deren Anwendung durch Kriminelle zum Zweck Geld zu erlangen nun Krieg?
Nicht die Verwendung eines bestimmten Werkzeuges/Systems macht eine Handlung zum militärischen Konflikt (Krieg), sondern die Absicht.
Das Innenministerium wird offensiv, bei „Abwehr von nicht-militärischen Angriffen aller Art – von bewussten Falschmeldungen bis hin zu Cyberattacken … und strategischer Inlandsaufklärung“ durch das BfV.
Wie genau die Abgrenzung festgelegt ist, falls überhaupt machbar, muss Seehofer noch erklären.
https://www.tagesschau.de/inland/seehofer-cyberabwehr-101.html
Damit der Bund eingreifen kann, denn innere Gefahrenabwehr ist Aufgabe der Länder, will Seehofer auch das Grundgesetz ändern.
Nachgetragen: Die Tagesschau veröffentlichte am 29. Mai mehr Details zu den Hackback-Plänen:
Internes Papier Die Hackback-Pläne der Bundesregierung
Facepalm.
1/2) Datenverkehr umleiten.
Es ist nicht so, dass das Internet Alternativrouten kennt. Oder der Netzverkehr wird durch den staatlichen Akteur maßgeblich gestört. Dann hätte der Angreifer aber auch ein Teilziel erreicht: Unbeteiligte, ggf. das Zielland werden lahmgelegt, um den vermeintlichen Angreifer abzuwehren. Das eröffnet neue Strategien für Angriffe auf die deutsche Infrastruktur. Zombies im Telekom- und Vodafone-Netz derart geschickt aktivieren, dass größere Teile dieser Netze off gehen.
3) Das fremde Netzwerk hacken, Daten verändern/löschen.
[blockquote]Nach dem Bundestags-Hack im Jahr 2015 konnten Mitarbeiter des Bundesamtes für Verfassungsschutz ein größeres Datenpaket des Parlaments ausfindig machen. Es lag auf einem Server in Osteuropa. Gerne hätte man die Daten gelöscht – doch das wäre illegal.[/blockquote]
Einfach mal die Kollegen in „Osteuropa“ kontaktieren anstatt wild in der Weltgeschichte rumlöschen? Am Ende hat jemand eine falsche Fährte gelegt und es trifft den Falschen im Ausland. Hat der auf diese Weise angegriffene im Ausland nicht auch das Recht zum Hackback? *räusper* Lawineneffekt *Räusper*
4) Auf das zum Angriff genutzte IT-System einwirken/herunterfahren.
Viel Spaß mit Botnetzen ohne zentralen Command-and-Control-Server. Zudem braucht man zum Einbruch in das IT-System einen Einfallsvektor. Zumeist werden das Sicherheitslücken sein, wenn der Angreifer kein blutiger Anfänger ist. Das wiederum bedeutet, dass die Sicherheitsbehörden diese Lücken horten müssen – und eigene Bürger absichtlich verwundbar halten.
Herrje, könnte denen mal jemand IT, Datennetze und aktuelle Angriffsszenarien erläutern? Vielleicht in einfacher Sprache und mit Bildern?
Wenn derart viele Stellen beteiligt sind, kann es eigentlich kein Profilierungsversuch eines Politikers sein, sondern auch durch fachliche Stellen inhaltlich geteilt worden sein.
@Alex: Meine Erfahrung mit obersten Bundesbehörden sagt mir was anderes. Erstens ist die Fachexpertise in Spitzenpositionen rar gesät. Das ist Ok, denn dafür gibt es ja Fachleute. Leider ist zweitens das Ziel politisch vorgegeben. Einwände fachlich versierter Stellen weiter unten in der Hierarchie werden da eher ignoriert. Vor allem, wenn Minister*innen vorab in Presseäußerungen vorpreschen und etwas ankündigen, was so nicht zu halten ist.
Während hier über „aktive Cyberabwehr“ und andere Luftschlösser salbadert wird, sind andere Nationen längst dabei, ihre (sicherheits)behördlichen und militärischen Netzwerke wirksam zu schützen. Rußland hat aktuell eine eigenentwickelte Linuxvarianate fertiestellt, die von FSB und Verteidigungsministerium nicht nur die Freigabe für „geheim“ und „streng geheim“ bekommen hat, sondern jetzt auch für die noch höhere (höchste?) russische Sicherheitsstufe „besonders bedeutsam“. das bisher verwendete modifizierte Windows kann damit komplett abgelöst werden:
https://www.heise.de/newsticker/meldung/Do-svidaniya-Windows-Russisches-Militaer-kann-komplett-auf-Astra-Linux-umsteigen-4435760.html
Damit hat man Sicherheit gegen Hacker als auch gegen Spionageversuche mittels der windowstypischen Backdoors.
Ich hatte vor einigen Monaten vor einem etwas anderem Hintergrund bereits in einem längeren Beitrag darauf hingewiesen, daß es – falls man „IT-Sicherheit“ und „sichere Kommunikation“ in Deutschland tatsächlich ernst nehmen will – dringend nötig und sinnvoll ist, eine eigene „staatlich deutsche“ Linux-Version aufzulegen. Herr Wiegold hat den Beitrag damals (mit einer freundlichen Begründung) nicht freigeschaltet, weil er weiland nicht in das Themenportfolio paßte. Inzwischen sind mehrere Monate vergangen, aber seitens der deutschen Regierung und der deutschen Behörden scheint man immer noch nicht auf den Gedanken dazu gekommen zu sein, um IT-Sicherheit in kritischen Bereichen herstellen zu können. Statt dessen will man „aktiv“ Server von „Angreifern“ vernichten, am besten noch online. Dann mal viel Spaß mit der „Cyberabwehr“.Hat denn das Innenministerium keine Fachleute mehr, die den Entscheidungsträgern mal ein paar Grundlagen erklären können? Da scheint ja das Internet immer noch „Neuland für alle“ zu sein…
@Mitleser
Ihren Vorschlag einer eigenen Linuxvariante klingt verlockend und ich würde gerne an solch einem Projekt mitarbeiten. Welcher ambitionierte Entwickler würde das nicht wollen?
Leider leider hat das aber einen großen Nachteil, neben den unbestreitbaren Vorteilen. Die Zahl ihrer Mitstreiter im Ringen um sichere Systeme sinkt beinahe gegen null, die Zahl ihrer Gegner bleibt gleich. Von unentdeckten Schwachstellen in ihrem System erfahren sie nur noch dann, wenn sie selbst einen Schaden erleiden.
Man könnte sich eine ähnliche Situation zurechtdenken, wie sie sich, aus technischer Sicht, mit der ENIGMA im historischen Beispiel als Super-GAU exemplarisch aufzeigen lässt.
Bei COTS-Produkten (commercial off-the-shelf) gibt es einen Wettstreit an vielen Stellen und sie profitieren ständig auch von den Erfahrungen (Erfolge oder Misserfolge) Anderer.
Zumindest muss man diese Überlegung mit in Betrachtung ziehen,
Jetzt sind wir tatsächlich sehr weit weg von der Überschrift, aber trotzdem nahe am Thema der eigenen IT-Sicherheit.