Angriffe auf IT-Großstrukturen

Die Angriffe auf IT-Großstrukturen, auf Rechenzentren und auf Datenspeicher in der Cloud häufen sich. Ausgerechnet den nach eigenen Angaben „weltweiten Marktführer für E-Mail- und Web-Sicherheit“ erwischte es wenige Tage vor Sony: Am 9. April wurde die Internetpräsenz von Barracuda Networks „gehackt“, die entwendeten Kunden- und Mitarbeiterdaten waren anschließend in Auszügen im Internet einsehbar. Was niemand für möglich gehalten hätte, wurde Mitte März zum Albtraum für RSA, den renommierten Hersteller von Verschlüsselungssystemen. Die SecurID des amerikanischen Unternehmens ist eines der ältesten und bekanntesten Authentisierungs-Systeme zur sicheren Anmeldung an Rechnern. Mehr als 40 Millionen Menschen nutzen die kleinen Hardware-Tokens, die alle 60 Sekunden ein neues Einmalkennwort generieren.

Der Einbruch in die RSA-Server erfolgte durch ein Hintertürchen, das wiederum über eine Sicherheitslücke in Adobes Flash-Player installiert wurde. Und dann ging alles Schlag auf Schlag. Mit Hilfe eines Fernwartungs-Tools forschte man nach Zugangsdaten, loggte sich ein, verschaffte sich weitere Administrator-Rechte, sammelte die gewünschten Daten ein, komprimierte und verschlüsselte sie und schickte sie an einen externen FTP-Server. Weniger aggressiv gingen Unbekannte Anfang Februar bei einem Angriff auf das Netzwerk der amerikanischen Börse Nasdaq vor. Sie sahen sich nur um und ließen glücklicherweise das elektronische Handelssystem intakt. Gern brüsten sich die großen Handelsplätze und Banken damit, dass ihre IT-Systeme so sicher wie die des Militärs seien. Aber „wenn Ihnen einer etwas Böses will und die Mittel dazu kennt, kann er auch die von ihm gesuchten Wege finden“, sagte ein Sicherheitsexperte einer großen deutschen Bank dieser Zeitung.
Sicherheitslücken für 100 Dollar

Sind die spektakulären Angriffe auf IT-Systeme der vergangenen Monate nur eine Häufung von Einzelfällen? Oder treten jetzt neue und schwerwiegende Strukturprobleme ans Licht? IT-Sicherheitstechnik ist für die Öffentlichkeit intransparent. Jenseits aller Spekulation bleiben einige Beobachtungen: An erster Stelle hat sich das Hacking professionalisiert. Aus der sportlichen und idealistischen Betätigung cleverer Netzwerkspezialisten ist ein profitabler Geschäftszweig der organisierten Kriminalität geworden. Eingebrochen wird nicht mehr aus hehren Motiven, sondern arbeitsteilig und in Banden, die wiederum eine Wertschöpfungskette von der Entdeckung einer Sicherheitslücke bis hin zur Kontoplünderung aufgebaut haben.

Zweitens sind Sicherheitslücken die Wurzel allen Übels. Die sogenannten Exploits in Betriebssystemen, Kommunikationsprotokollen und in Anwendungsprogrammen werden von Angreifern genutzt, um in Unternehmensnetzwerke einzudringen. Solche Schwachstellen, die es in jeder Software gibt, werden auf Schwarzmärkten im Internet angeboten, teils sogar meistbietend versteigert. Sicherheitslücken für Windows kosten weniger als 100 Dollar, Exploits für Unternehmens- oder Regierungsnetzwerke sind zu Preisen von bis zu 50.000 Dollar zu haben.
30.000 Schwachstellen-Analytiker

Sicherheitslöcher kann man nur dann stopfen, wenn man sie kennt. Eine der wichtigsten Forderungen für eine sichere IT wäre eine strikte Offenlegung und Veröffentlichung aller zu schließenden Lücken, womit gleichzeitig auch dem Schwarzmarkt der Exploits das Wasser abgegraben würde. Google hat diese Mechanismen erkannt und bezahlt Hacker für die Bekanntgabe von Lücken. Was sich vorbildlich und naheliegend anhört, ist jedoch systemübergreifend und politisch nicht durchsetzbar. Denn Nachrichtendienste und Sicherheitsbehörden sind unabdingbar auf solche unveröffentlichten Sicherheitslücken angewiesen, wenn sie mit „Remote Forensic Software“ beispielsweise eine heimliche Online-Durchsuchung von PC durchführen wollen. Würden Löcher sofort geschlossen, gäbe es keinen „Bundestrojaner“. Nach der geltenden Sicherheitsdoktrin der westlichen Länder sind die staatlichen, auf Exploits beruhenden Überwachungssysteme wichtiger als die Abwehr krimineller Angriffsprogramme. Dieser Widerspruch ist nicht auflösbar. Nur am Rande sei bemerkt: In aller Welt gibt es rund 30.000 Schwachstellen-Analytiker. Davon arbeiten etwa 10.000 in der Volksrepublik China. Und nur ein Dutzend in Deutschland.

Auch wenn drittens IT-Technik überwiegend im Dunklen bleibt: Unternehmen, deren Infrastruktur angegriffen wird, müssen sich zumindest einer Nagelprobe stellen. Nämlich der Frage, wie lange die verwendeten Lücken bereits bekannt oder veröffentlicht sind. Etliche Angriffe der vergangenen Monate basieren auf Schwachstellen, die man bereits vor fünf Jahren hätte ausbügeln können. Solche Unternehmen müssen sich zu Recht den Vorwurf der Nachlässigkeit gefallen lassen. Man wird künftig mehr Transparenz erwarten dürfen, also etwa eine kontinuierliche öffentliche Dokumentation der durchgeführten Sicherheits-Updates als Pflichtberichterstattung.

Bis dahin bleibt nur ein pessimistisches Fazit: Wenn Daten in digitaler Form vorliegen, ist die Möglichkeit des Missbrauchs immanent. Es gibt keine technischen Verfahren, die eine vollständige Sicherheit zum Schutz vor unbefugtem Zugriff bieten. Die bisherigen Vorstellungen einer fortwährenden Steigerung von Sicherheit führen in die Irre. Es wird Zeit, diese Gedanken zu verabschieden und über hinnehmbare Unsicherheiten zu reden.

Interview - Patrick Gensing, tagesschau.de

tagesschau.de: Wie hängen Religion und Terrorismus zusammen?

Abdel-Samad: Die Ursache für Gewalt und Terror kann man nicht allein auf den Koran zurückführen. Es gibt weltweit politische Unruhen und soziale Probleme. Dazu kommen persönliche Merkmale des Terroristen, die wichtig sind. Dennoch darf man der Religion auch keinen Persilschein ausstellen. Denn erst die Religion ermöglicht es dem Attentäter, einer kalkulierten politischen Tat eine sakrale Dimension zu verleihen. Die Bezeichnung der Ungläubigen im Koran als Vieh macht es für einen Radikalen möglich, seine Opfer zu entmenschlichen. In der öffentlichen Debatte wird die Religion entweder alleine für Anschläge verantwortlich gemacht, oder man sagt, der Islam habe nichts damit zu tun, er sei die Religion des Friedens. Beides ist falsch.

tagesschau.de: Warum?

Abdel-Samad: Wenn die Religion allein ausschlaggebend wäre, hätten wir in Deutschland mehrere Millionen potenzielle Attentäter. Das haben wir nicht. Wenn die Religion nichts damit zu tun hätte, würden sich auch Terroristen aus Mexiko oder Vietnam in die Luft jagen. Das tun sie aber nicht.
TV-Tipp:
Hamed Abdel-Samad und Henryk M. Broder Link Deutschlandsafari Henryk M. Broder und Hamed Abdel-Samad sind kreuz und quer durch Deutschland gefahren 30.000 Kilometer haben sie für die Deutschland-Safari zurückgelegt, mit Jesus, Mohammed und Moses im Gepäck und Foxterrier Wilma auf dem Rücksitz. [daserste]

tagesschau.de: Die Bundesregierung will Programme gegen Islamismus auflegen, ähnlich denen gegen Rechtsextremismus. Wie können solche Projekte sinnvollerweise aussehen?

Abdel-Samad: Die richtigen Akteure müssen am Werk sein. Wenn man rein deutsche Anlaufstellen für Aussteiger anbietet, wird es schwierig. Da sind die Moscheevereine ein wichtiger Faktor. Sie haben bislang nicht ihre Aufgabe erfüllt, gegen radikale Tendenzen an ihren Rändern vorzugehen. Auch als Anlaufstelle für Aussteiger fungieren sie bislang nicht. Dafür müssen sie sich vollkommen von der Gewaltrhetorik verabschieden, mehr Vertrauen in Sicherheitskräfte und in die deutsche Gesellschaft aufbauen. Immerhin hat man nun begonnen, Imame hier auszubilden. Es ist ein langer Weg.

tagesschau.de: Kann Integration ein Schutz vor Terrorismus sein?

Abdel-Samad: Man darf die Phänomene nicht vermischen. Terrorismus und Integration sind unterschiedliche Sachen. Mit Ganztagsschulen und Sprachförderung kann man nicht den Terrorismus besiegen. Mohammed Atta sprach perfekt Deutsch, hatte gute Chancen auf eine Karriere und bezahlte seine Rundfunkgebühren. Armut und Mangel an Bildung verursachen keinen Terrorismus, sondern Eskapismus. Das sind Jugendbanden, die im sozialen Elend keine Perspektive finden. Sie lösen sich von ihren ultrakonservativen Familien und werden kriminell.

Sprachkurs- und Integrationskurs für Imame (Foto: picture alliance / dpa) Großansicht des Bildes [Bildunterschrift: Sprachkurs- und Integrationskurs für Imame: "Terrorismus und Integration sind unterschiedliche Sachen", betont Abdel-Samad. ]
In Deutschland werden verschiedene Formen der Radikalisierung vermischt und als islamisch bezeichnet: Der Eskapismus, aber auch der archaische Konservatismus, der sich durch "Ehrenmorde" oder Zwangsehen zeigt. Unser Problem ist aber der religiöse Avantgardismus. Die meisten Biografien von Attentätern zeigen: Es sind entweder Konvertiten oder Re-Konvertiten, also Muslime, die ihre Religion wieder entdecken - oder welche, die von außerhalb kommen und päpstlicher sein wollen als der Papst.

tagesschau.de: Wie sieht es denn aus mit den Verbindungen von potenziellen Terroristen zum Terrornetzwerk Al Kaida?

Abdel-Samad: Die zentralistische Al Kaida, die wir aus dem Jahr 2001 kennen, gibt es in dieser Form nicht mehr. Wir haben mittlerweile eine "Do-it-yourself-Al-Kaida". Das ist eine Art Geisteshaltung. Jeder kann im Internet die Anleitung zum Bau einer Bombe herunterladen. Eine Gruppe junger Muslime kann sich zusammenfinden - ohne direkten Kontakt zur Mutterorganisation. Kleingruppen agieren oft auf eigene Faust, daher sind sie auch nicht mehr so präzise. Aber die Gefahr ist da - weltweit.

tagesschau.de: Zurück von der weltweiten Bedrohung zu Ihrer eigenen Geschichte: Welche Lehren haben Sie aus den Erfahrungen in islamistischen Kreisen gezogen?

Abdel-Samad: Ich habe gelernt, dass jeder Mensch durstig ist nach Anerkennung und sozialer Wärme. Wenn dies in der Familie oder in der Gesellschaft fehlt, besteht Gefahr, dass Individuen von Radikalen vereinnahmt werden. Und ich habe gelernt, mich niemals mit vorgefertigten Antworten und Wahrheiten zufrieden zu geben. Außerdem muss man allen Menschen in allererster Linie als Menschen begegnen - und nicht als Christen, Juden, Atheisten oder was auch immer.