Wenn die "schwarzen Hüte" – die als Sanitäter des wilden Cyberraums fungieren – besonders erfolgreich in ihren dunklen Machenschaften sind, jubeln die Boulevardmedien vor Begeisterung. Infolgedessen beginnt die Welt, Cybersecurity ernster zu nehmen. Doch leider geschieht dies nicht sofort. Daher ist die Welt trotz der ständig zunehmenden Anzahl katastrophaler Cybervorfälle noch nicht bereit für proaktive Maßnahmen. Man erwartet jedoch, dass die Welt in naher Zukunft, dank der "schwarzen Hüte", tatsächlich beginnen wird, Cybersecurity ernst zu nehmen. [7]

So ernst wie bei Bränden… Einst waren Städte sehr anfällig für katastrophale Brände. Doch trotz der potenziellen Gefahr wurden präventive Schutzmaßnahmen nicht ergriffen – selbst nach dem gewaltigen Feuer in Chicago im Jahr 1871, das Hunderte von Leben kostete und Hunderttausende obdachlos machte. Präventive Maßnahmen wurden erst nach dem erneuten Auftreten einer solchen Katastrophe drei Jahre später ergriffen. Das Gleiche gilt für die Cybersicherheit – die Welt wird dieses Problem nicht lösen, solange es keine katastrophalen Vorfälle gibt. Und selbst wenn solche Vorfälle eintreten, wird die Welt das Problem nicht sofort angehen. [7] Deshalb gilt sogar das Sprichwort: „Bis der Bug kracht, wird der Mann nicht gepatcht“ – so ganz trifft das nicht zu. Daher haben wir 2018 das 30-jährige Jubiläum ungebremster Verwundbarkeit gefeiert.

Abschweifer

Der Anfang dieses Artikels, den ich ursprünglich für die Zeitschrift „Systemadministrator“ schrieb, erwies sich in gewisser Weise als prophetisch. Die Ausgabe der Zeitschrift mit diesem Artikel wurde fiel buchstäblich zeitgleich mit dem tragischen Brand im Kemerowo Einkaufszentrum „Winterkirschbaum“ (2018, um den 20. März).

Das Internet in 30 Minuten auflegen

Bereits 1988 erklärte die legendäre Hackergruppe L0pht, während sie sich vor einflussreichsten westlichen Beamten versammelte: „Ihre Computerhardware ist anfällig für Cyberangriffe aus dem Internet. Sowohl Software als auch Hardware sowie Telekommunikation sind betroffen. Die Hersteller dieser Produkte kümmern sich nicht um diese Situation. Denn in der modernen Gesetzgebung gibt es keinerlei Verantwortung für nachlässige Ansätze zur Gewährleistung der Cybersicherheit von produzierter Software und Hardware. Die Verantwortung für mögliche Ausfälle – seien sie selbstverschuldet oder durch das Eingreifen von Cyberkriminellen verursacht – liegt allein beim Benutzer der Hardware. Was die Bundesregierung angeht, so hat sie weder die nötigen Fähigkeiten noch den Willen, dieses Problem zu lösen. Wenn Sie nach Cybersecurity suchen, dann ist das Internet nicht der richtige Ort dafür. Jeder der sieben Personen, die vor Ihnen sitzen, könnte das Internet vollständig lahmlegen und somit die Kontrolle über damit verbundene Geräte übernehmen. Allein. 30 Minuten gekonnte Tasteneingabe – und das war's.“ [7]

Beamte nickten vielsagend und ließen erkennen, dass sie die Ernsthaftigkeit der Situation verstanden, jedoch nichts unternahmen. Heute, genau 30 Jahre nach dem legendären Auftritt von L0pht, herrscht weltweit nach wie vor eine "ungehemmte Unsicherheit". Der Einbruch in computerisierte, internetabhängige Geräte ist so einfach, dass das Internet, einst das Reich idealistischer Wissenschaftler und Enthusiasten, allmählich von den pragmatischsten Profis besetzt wird: Betrügern, Schwindlern, Spionen und Terroristen. Sie nutzen die Schwachstellen computerisierter Geräte aus, um finanzielle oder andere Vorteile zu erlangen. [7]

Anbieter vernachlässigen die Cybersicherheit.

Anbieter versuchen manchmal, bestimmte entdeckte Sicherheitslücken zu beheben, aber sie tun dies nur widerwillig. Denn gewinnbringend ist nicht der Schutz vor Hackern, sondern die neue Funktionalität, die sie den Nutzern bieten. Ausgerichtet auf kurzfristige Gewinne investieren Anbieter Geld nur in die Lösung tatsächlicher Probleme, nicht in hypothetische. Cybersecurity ist für viele von ihnen ein hypothetisches Thema. [7]

Cybersecurity ist unsichtbar und immateriell. Sie wird erst greifbar, wenn Probleme damit auftreten. Wenn jedoch gut dafür gesorgt wurde (viel Geld für ihre Sicherheit ausgegeben wurde) und keine Probleme auftreten, wird der Endverbraucher nicht bereit sein, dafür zu überzahlen. Darüber hinaus erfordert die Implementierung von Sicherheitsmaßnahmen nicht nur zusätzliche finanzielle Mittel, sondern auch mehr Entwicklungszeit, führt zu Einschränkungen der Hardware-Funktionalitäten und verringert deren Leistung. [8]

Es ist kaum zu überzeugen, auch die eigenen Marketingexperten von der Notwendigkeit der genannten Ausgaben, ganz zu schweigen von den Endverbrauchern. Da moderne Anbieter jedoch ausschließlich an kurzfristigen Verkaufsgewinnen interessiert sind, sind sie absolut nicht bereit, Verantwortung für die Cybersicherheit ihrer Produkte zu übernehmen. [1] Auf der anderen Seite stehen verantwortungsbewusstere Anbieter, die sich um die Cybersicherheit ihrer Geräte kümmern, vor der Herausforderung, dass Unternehmensverbraucher billigere und einfachere Alternativen bevorzugen. Offensichtlich ist das Thema Cybersicherheit auch für Unternehmensverbraucher von geringer Bedeutung. [8]

Vor diesem Hintergrund ist es nicht verwunderlich, dass Anbieter dazu neigen, die Cybersicherheit zu vernachlässigen und der folgenden Philosophie folgen: „Bau weiter, verkaufe weiter und mache bei Bedarf Updates. Ist das System ausgefallen? Sind Daten verloren gegangen? Wurde eine Datenbank mit Kreditkartennummern gestohlen? Gibt es unlösbare Schwachstellen in der Hardware? Kein Problem!“ Die Verbraucher hingegen müssen dem Prinzip folgen: „Update und bete.“ [7]

So funktioniert es: Beispiele aus der Tierwelt

Ein starkes Beispiel für Missachtung der Cybersicherheit bei der Entwicklung ist Microsofts Unternehmensmotivationsprogramm: „Verspätung bedeutet Strafe. Wenn Sie Ihre Innovation nicht rechtzeitig präsentieren, wird sie nicht eingeführt. Wenn sie nicht eingeführt wird, erhalten Sie keine Unternehmensanteile (keinen Anteil am Gewinn von Microsoft).“ Seit 1993 hat Microsoft begonnen, seine Produkte aktiv mit dem Internet zu verknüpfen. Da diese Initiative im Einklang mit demselben Motivationsprogramm stand, wurden die Funktionalitäten schneller erweitert, als der Schutz folgen konnte. Zur Freude pragmatischer Schwachstellensucher… [7]

Ein weiteres Beispiel ist die Situation mit Computern und Laptops: Sie werden nicht mit vorinstallierter Antivirensoftware geliefert; und auch die Festlegung zuverlässiger Passwörter ist nicht vorgesehen. Es wird davon ausgegangen, dass der Endbenutzer Antivirensoftware installiert und die Sicherheitskonfiguration vornimmt. [1]

Ein weiteres, extremeres Beispiel: die Cybersicherheitslage bei Handelsgeräten (z.B. Kassensysteme, PoS-Terminals für Einkaufszentren usw.). Es ist üblich, dass Anbieter von Handelsgeräten nur das vertreiben, was sich verkauft, und nicht, was sicher ist. [2] Wenn sich die Anbieter von Handelsgeräten um Cybersicherheit kümmern, dann hauptsächlich darum, dass im Falle eines strittigen Vorfalls die Verantwortung auf andere abgewälzt wird. [3]

Ein anschauliches Beispiel für diese Entwicklung ist die Popularisierung des EMV-Standards für Bankkarten, der dank der geschickten Arbeit der Marketingabteilungen der Banken in den Augen der technikunerfahrenen Öffentlichkeit als sicherere Alternative zu 'veralteten' Magnetkarten erscheint. Dabei war die Hauptmotivation der Bankenindustrie, die für die Entwicklung des EMV-Standards verantwortlich war, die Verantwortung für betrügerische Vorfälle (die durch Kartendiebe verursacht werden) von den Geschäften auf die Kunden zu verlagern. Zuvor, als Zahlungen mit Magnetkarten vorgenommen wurden, lag die finanzielle Verantwortung für Abweichungen im Soll/Haben bei den Geschäften. [3] Somit schieben die Banken, die Zahlungen abwickeln, die Verantwortung entweder auf die Verkäufer (die ihre Online-Banking-Systeme nutzen) oder auf die Banken, die die Zahlungskarten ausgeben; die letzten beiden wiederum geben die Verantwortung an den Karteninhaber weiter. [2]

Anbieter behindern die Gewährleistung der Cybersicherheit

Mit der unaufhaltsamen Ausweitung der digitalen Angriffe – bedingt durch den explosiven Anstieg der internetfähigen Geräte – wird es zunehmend schwieriger, den Überblick über die in die Unternehmensnetzwerke eingebundenen Systeme zu behalten. Gleichzeitig wird die Verantwortung für die Sicherheit aller internetfähigen Geräte zunehmend auf die Endbenutzer abgewälzt [1]: "Die Rettung der Ertrinkenden obliegt den Ertrinkenden selbst."

Es ist nicht nur so, dass die Anbieter sich nicht um die Cybersicherheit ihrer Produkte kümmern, in einigen Fällen erschweren sie sogar deren Gewährleistung. So entschied beispielsweise der technische Direktor des medizinischen Zentrums "Beth Israel", nachdem der Netzwerk-Wurm Conficker im Jahr 2009 in das Zentrum eindrang und dort Teile des medizinischen Equipments infizierte, zur Vermeidung zukünftiger Vorfälle, die Netzwerkfunktionalität des betroffenen Geräts zu deaktivieren. Allerdings stieß er auf das Problem, dass "das Gerät aufgrund regulatorischer Einschränkungen nicht aktualisiert werden konnte". Er benötigte erhebliche Anstrengungen, um mit dem Anbieter die Deaktivierung der Netzwerkfunktionen zu vereinbaren. [4]

Grundlegende Cyber-Sicherheit des Internets

David Clark, der legendäre Professor am MIT, der für seine geniale Einsicht den Spitznamen "Albus Dumbledore" erhielt, erinnert sich genau an den Tag, an dem die dunkle Seite des Internets der Welt offenbar wurde. Clark war im November 1988 Vorsitzender einer Telekommunikationskonferenz, als die Nachricht die Runde machte, dass der erste Computerwurm in der Geschichte über Netzwerkkabel geschlichen war. Dieser Moment blieb Clark im Gedächtnis, weil ein Referent, der an seiner Konferenz teilnahm, für die Verbreitung dieses Wurms verantwortlich gemacht wurde. Der Referent äußerte in einem Anfall von Emotionen nachlässig: „So ein Mist! Ich dachte, ich hätte diese Schwachstelle schon geschlossen“, – dafür musste er die Konsequenzen tragen. [5]

Später stellte sich jedoch heraus, dass die Schwachstelle, durch die der erwähnte Wurm verbreitet wurde, nicht das Verdienst einer bestimmten Person war. Streng genommen handelte es sich dabei sogar nicht um eine Schwachstelle, sondern um ein fundamentales Merkmal des Internets: Die Gründer des Internets konzentrierten sich bei der Entwicklung ihres Produkts ausschließlich auf die Datenübertragungsgeschwindigkeit und die Ausfallsicherheit. Die Aufgabe der Gewährleistung von Cybersicherheit hatten sie sich nicht gesetzt. [5]

Heute, Jahrzehnte nach der Gründung des Internets – nachdem Hunderte von Milliarden Dollar für vergebliche Versuche zur Sicherstellung der Cybersicherheit ausgegeben wurden – ist das Internet nicht weniger anfällig geworden. Die Probleme in Bezug auf die Cybersicherheit verschärfen sich von Jahr zu Jahr. Haben wir jedoch das Recht, die Urheber des Internets dafür zu verurteilen? Schließlich wird auch niemand die Bauherren von Schnellstraßen dafür verurteilen, dass es auf «ihren Straßen» Unfälle gibt; und niemand wird die Stadtplaner dafür kritisieren, dass in «ihren Städten» Raubüberfälle geschehen. [5]

Wie die Hacker-Subkultur entstand

Die Hacker-Subkultur entstand Anfang der 1960er Jahre im "Club für technische Modellbahnplanung" (der innerhalb des Massachusetts Institute of Technology tätig war). Die Enthusiasten des Clubs entwarfen und bauten ein Modell einer Eisenbahn, das so groß war, dass es den gesamten Raum ausfüllte. Die Mitglieder des Clubs teilten sich spontan in zwei Gruppen: Friedensmacher und Systemtechniker. [6]

Die ersten arbeiteten an dem oberirdischen Teil des Modells, die zweiten am unterirdischen. Die ersten sammelten und bemalten Modelle von Zügen und Städten: Sie modellierten eine gesamte Welt im Miniaturformat. Die zweiten arbeiteten an der technischen Ausstattung dieses Friedensprojekts: die komplexen Verbindungen von Drähten, Relais und Koordinaten-Schaltern, die im unterirdischen Teil des Modells platziert waren – all das kontrollierte den "oberirdischen" Teil und versorgte ihn mit Energie. [6]

Wenn ein Problem mit dem Verkehr auftrat und jemand eine neue, geniale Lösung zur Behebung fand, wurde diese Lösung als "Hack" bezeichnet. Für die Mitglieder des Clubs wurde die Suche nach neuen Hacks zu einem selbstwertstiftenden Lebenssinn. Daher begannen sie, sich selbst als "Hacker" zu bezeichnen. [6]

Die erste Generation von Hackern setzte die im „Modellbahnclub“ erlernten Fähigkeiten ein, um Computerprogramme auf Lochkarten zu schreiben. Als dann 1969 ARPANET (der Vorläufer des Internets) in die Universitätsstadt kam, waren es vor allem die Hacker, die die aktivsten und qualifiziertesten Nutzer wurden. [6]

Heute, Jahrzehnte später, erinnert das moderne Internet stark an den „Untergrund“-Bereich des Modellbahnmodells. Denn die gleichen Hacker, die Mitglieder des „Modellbahnclubs“ waren, haben es erschaffen. Nur dass die Hacker jetzt anstelle von modellierten Miniaturen mit echten Städten arbeiten. [6]

Wie die BGP-Routing-Technologie entstand

Bis Ende der 80er Jahre stand das Internet aufgrund eines explosionsartigen Anstiegs der Anzahl der Geräte, die mit dem Internet verbunden waren, vor einer kritischen mathematischen Grenze, die in einem der grundlegenden Internetprotokolle eingebaut war. Daher verwandelte sich jede Diskussion unter den Ingenieuren jener Zeit schließlich in eine Auseinandersetzung mit diesem Problem. Auch zwei Freunde, Jakob Rechter (Ingenieur bei IBM) und Kirk Lockheed (Gründer von Cisco), bildeten dabei keine Ausnahme. Bei einem zufälligen Treffen am Mittagstisch begannen sie darüber zu diskutieren, wie die Funktionsfähigkeit des Internets erhalten werden könne. Die aufkommenden Ideen notierten sie auf allem, was ihnen in die Hände fiel – einer mit Ketchup verschmierten Serviette. Dann auf einer zweiten. Und auf einer dritten. „Das Protokoll auf drei Servietten“, wie die Erfinder es scherzhaft nannten, ist offiziell als BGP (Border Gateway Protocol; Protokoll für die Grenzweiterleitung) bekannt und führte bald zu einer Revolution im Internet. [8]

Für Rechter und Lockheed war BGP einfach ein lässiger Hack, der im Geiste des oben genannten "Eisenbahnmodellierungsclubs" entwickelt wurde – eine vorübergehende Lösung, die bald ersetzt werden sollte. Die Freunde entwickelten BGP 1989. Doch heute, 30 Jahre später, wird der Großteil des Internetverkehrs nach wie vor durch das „Protokoll auf drei Servietten“ geroutet – trotz immer alarmierenderer Hinweise auf kritische Sicherheitsprobleme. Der vorübergehende Hack wurde zu einem der grundlegenden Internetprotokolle, und seine Entwickler haben aus erster Hand erfahren, dass "nichts beständiger ist als vorübergehende Lösungen". [8]

Netzwerke weltweit haben auf BGP umgestellt. Einflussreiche Anbieter, wohlhabende Kunden und Telekommunikationsunternehmen schätzten BGP sehr schnell und gewöhnten sich daran. Daher zeigt die IT-Gemeinschaft trotz zunehmend alarmierenderer Hinweise auf die Unsicherheit dieses Protokolls wenig Enthusiasmus für den Wechsel zu neuerem, sichererem Equipment. [8]

Cyber-Unsicherheit der BGP-Routenführung

Was macht BGP-Routing so vorteilhaft und warum zögert die IT-Community, darauf zu verzichten? BGP hilft Routern, Entscheidungen darüber zu treffen, wohin die gigantischen Datenströme geleitet werden sollen, die durch ein umfangreiches Netzwerk von Verbindungen fließen. BGP ermöglicht es Routern, geeignete Routen auszuwählen, auch wenn sich das Netzwerk ständig verändert und engpassartige Überlastungen auf beliebten Strecken auftreten. Das Problem ist, dass es im Internet keine globale Routing-Karte gibt. Router, die BGP verwenden, treffen Entscheidungen über die Wahl eines bestimmten Pfades basierend auf Informationen, die sie von ihren Nachbarn im Cyberraum erhalten, die wiederum Informationen von ihren Nachbarn sammeln, und so weiter. Allerdings ist diese Information leicht zu fälschen, was bedeutet, dass BGP-Routing anfällig für MiTM-Angriffe ist. [8]

Daher tauchen regelmäßig Fragen auf wie: „Warum machte der Datenverkehr zwischen zwei Computern in Denver einen riesigen Umweg über Island?“, „Warum wurden geheime Daten des Pentagon einmal über Peking umgeleitet?“. Solche Fragen haben technische Antworten, die jedoch alle darauf hinauslaufen, dass die Funktion des BGP-Protokolls auf Vertrauen basiert: auf dem Vertrauen in die Empfehlungen, die von benachbarten Routern erhalten werden. Aufgrund der vertrauensvollen Natur des BGP-Protokolls können die geheimnisvollen Verkehrsregisseure nach Belieben fremde Datenströme in ihr Herrschaftsgebiet lenken. [8]

Ein aktuelles Beispiel ist der BGP-Angriff Chinas auf das US-Verteidigungsministerium. Im April 2010 sendete der staatliche Telekommunikationsgigant China Telecom an Zehntausende von Routern weltweit, darunter 16.000 in den USA, eine BGP-Nachricht über die Verfügbarkeit besserer Routen. In Ermangelung eines Systems, das die Echtheit der BGP-Nachricht von China Telecom überprüfen konnte, begannen Router weltweit, Daten über Peking umzuleiten. Dazu gehörten auch der Datenverkehr des Pentagons und anderer Webseiten des US-Verteidigungsministeriums. Die Leichtigkeit, mit der der Verkehr umgeleitet wurde, und das Fehlen effektiven Schutzes vor solchen Angriffen sind ein weiteres Warnsignal für die Unsicherheiten der BGP-Routing-Protokolle. [8]

Das BGP-Protokoll ist theoretisch anfällig für noch gefährlichere Cyberangriffe. Sollte es zu internationalen Konflikten im Cyberraum kommen, könnte China Telecom oder ein anderer Telekommunikationsriese versuchen, Teile des Internets, die ihm tatsächlich nicht gehören, für sich zu beanspruchen. Ein solcher Schritt würde die Router verwirren, die sich zwischen konkurrierenden Anfragen zu denselben IP-Blöcken hin und her bewegen müssten. Ohne die Möglichkeit, eine legitime Anfrage von einer falschen zu unterscheiden, würden die Router chaotisch agieren. Das Ergebnis wäre eine Internet-Äquivalent zu einem Atomkrieg – eine offene, groß angelegte Feindschaft. Ein solches Szenario mag in Zeiten relativen Friedens unrealistisch erscheinen, ist jedoch technisch durchaus machbar. [8]

Vergeblicher Versuch, von BGP auf BGPSEC umzusteigen.

Bei der Entwicklung von BGP wurde die Cybersicherheit nicht berücksichtigt, da Hacks zu diesem Zeitpunkt selten waren und die Auswirkungen darauf gering waren. Die Entwickler des BGP-Protokolls, die in Telekommunikationsunternehmen tätig waren und an einem Verkauf ihrer Netzwerkausrüstung interessiert waren, hatten ein dringlicheres Problem zu lösen: die Vermeidung von unerwarteten Ausfällen des Internets. Denn Internetunterbrechungen könnten Nutzer abschrecken und damit den Verkauf von Netzwerkausrüstung beeinträchtigen. [8]

Nach dem Vorfall im April 2010, als amerikanischer Militärverkehr durch Peking geleitet wurde, beschleunigten sich die Arbeiten zur Cybersicherheitsabsicherung der BGP-Routing-Technologie natürlich. Allerdings zeigen die Telekommunikationsanbieter wenig Begeisterung, die Kosten für den Umstieg auf das neue sichere Routingprotokoll BGPSEC zu tragen, das als Ersatz für das unsichere BGP angeboten wird. Die Anbieter betrachten BGP nach wie vor als durchaus akzeptabel, trotz zahlreicher Vorfälle von Datenverkehrsabfang. [8]

Radia Perlman, die für die Erfindung eines weiteren wichtigen Netzwerkprotokolls im Jahr 1988 (ein Jahr vor dem BGP) als "Mutter des Internets" bezeichnet wurde, hat an der MIT ihre Doktorarbeit verteidigt, die prophetisch war. Perlman sagte voraus, dass ein Routing-Protokoll, das auf der Ehrlichkeit von Nachbarn im Cyberspace basiert, von Grund auf unsicher ist. Sie plädierte für den Einsatz von Kryptographie, um die Möglichkeiten der Fälschung einzuschränken. Allerdings war die Einführung von BGP bereits in vollem Gange, die einflussreiche IT-Community hatte sich daran gewöhnt und wollte nichts ändern. Daher blieb der relative Anteil an kryptographisch geschütztem BGP-Routing nach den fundierten Warnungen von Perlman, Clark und einigen anderen führenden Experten weltweit bei unveränderten 0%. [8]

BGP-Routing ist bei weitem nicht der einzige "Hack"

Und BGP-Routing ist nicht der einzige Trick, der die Idee unterstützt, dass "nichts beständiger ist als vorübergehende Lösungen". Manchmal scheint das Internet, das uns in fantastischen Welten eintauchen lässt, ebenso elegant zu sein wie ein Rennwagen. Doch in Wirklichkeit sieht das Internet eher aus wie ein Frankenstein als ein Ferrari, aufgrund der übereinander gestapelten Hacks. Denn diese Hacks, die offiziell als Patches bezeichnet werden, werden nicht durch zuverlässige Technologien ersetzt. Die Folgen dieses Ansatzes sind katastrophal: Täglich und stündlich hacken Cyberkriminelle in anfällige Systeme und erweitern die Dimensionen der Cyberkriminalität auf zuvor unvorstellbare Ausmaße. [8]

Viele der von Cyberkriminellen ausgenutzten Sicherheitsanfälligkeiten sind seit langem bekannt und bestehen weiterhin, weil die IT-Community Probleme oft nur mit kurzfristigen Hacks und Patches löst. Oft stapeln sich dadurch veraltete Technologien übereinander, was das Leben der Menschen erschwert und sie in Gefahr bringt. Was würden Sie denken, wenn Sie erfahren, dass Ihre Bank ihr Tresorhaus auf einem Fundament aus Stroh und Lehm errichtet? Würden Sie ihr Ihre Ersparnisse anvertrauen? [8]

Unbeschwerte Einstellung von Linus Torvalds

Jahre gingen ins Land, bis das Internet seine ersten hundert Computer erreichte. Heute kommen pro Sekunde 100 neue Computer und andere Geräte hinzu. Mit dem exponentiellen Wachstum der mit dem Internet verbundenen Geräte steigen auch die Herausforderungen der Cybersicherheit. Doch die Person, die den größten Einfluss auf die Lösung dieser Probleme haben könnte, sieht die Cybersicherheitslage mit Gleichgültigkeit. Dieser Mensch wird als Genie, Schurke, spiritueller Führer und wohlwollender Diktator bezeichnet: Linus Torvalds. Die überwältigende Mehrheit der mit dem Internet verbundenen Geräte läuft auf seinem Betriebssystem Linux. Schnell, flexibel, kostenlos – Linux wird mit der Zeit immer beliebter und bleibt gleichzeitig äußerst stabil. Es kann über viele Jahre ohne Neustart betrieben werden. Deshalb hat Linux die Ehre, das dominierende Betriebssystem zu sein. Praktisch jede computerisierte Hardware, die uns heute zur Verfügung steht, läuft auf Linux: Server, medizinische Geräte, Bordcomputer, kleine Drohnen, Militärflugzeuge und vieles mehr. [9]

Linux glänzt hauptsächlich, weil Torvalds Wert auf Leistung und Ausfallsicherheit legt. Dabei bleibt jedoch die Cybersicherheit auf der Strecke. Selbst wenn der Cyberraum und die physische Welt miteinander verflochten sind und Cybersicherheit zu einem globalen Thema geworden ist, weigert sich Torvalds, sichere Innovationen in sein Betriebssystem zu integrieren. [9]

Deshalb wächst selbst unter den zahlreichen Linux-Anhängern die Besorgnis über die Sicherheitsanfälligkeiten dieses Betriebssystems. Besonders besorgniserregend ist der intime Teil von Linux – sein Kernel, an dem Torvalds persönlich arbeitet. Die Anhänger von Linux beobachten, dass Torvalds die Themen der Cybersicherheit nicht ernst nimmt. Darüber hinaus umgibt sich Torvalds mit Entwicklern, die seine Sorglosigkeit teilen. Wenn jemand aus Torvalds' engstem Kreis das Gespräch über die Implementierung sicherer Innovationen beginnt, wird er sofort an den Pranger gestellt. Eine Gruppe solcher Innovatoren entließ Torvalds und bezeichnete sie als "masturbierende Affen". Als er sich von einer anderen Gruppe sicherheitsbewusster Entwickler verabschiedete, sagte Torvalds zu ihnen: "Würden Sie sich nicht selbst umbringen? Die Welt wäre dadurch besser." Wann immer es um die Hinzufügung von Sicherheitsfunktionen ging, war Torvalds stets dagegen. [9] Torvalds hat in diesem Zusammenhang sogar eine eigene Philosophie, die nicht ganz ohne gesunden Menschenverstand ist:

«Absolute Sicherheit ist unerreichbar. Daher sollte sie immer nur im Verhältnis zu anderen Prioritäten betrachtet werden: Geschwindigkeit, Flexibilität und Benutzerfreundlichkeit. Menschen, die sich völlig der Sicherheit widmen, sind verrückt. Ihre Denkweise ist begrenzt und schwarz-weiß. Sicherheit allein ist nutzlos. Die Essenz liegt immer irgendwo anders. Daher können Sie keine absolute Sicherheit gewährleisten, selbst wenn Sie es sich sehr wünschen. Natürlich gibt es Menschen, die der Sicherheit mehr Aufmerksamkeit schenken als Torvalds. Aber diese Leute arbeiten einfach an dem, was sie interessiert, und gewährleisten Sicherheit in engen relativen Rahmen, die ihre Interessen umreißen. Nicht mehr. Daher tragen sie in keiner Weise zur Erhöhung der absoluten Sicherheit bei.» [9]

Einblick: Mit OpenSource wie auf einem Pulverfass [10]

OpenSource-Code hat Milliarden an Entwicklungskosten eingespart, indem er die Notwendigkeit doppelter Anstrengungen ausgeschlossen hat: Mit OpenSource können Programmierer ohne Einschränkungen und Gebühren Zugang zu den neuesten Innovationen erhalten. OpenSource wird überall eingesetzt. Selbst wenn Sie einen Softwareentwickler engagiert haben, um eine spezielle Aufgabe von Grund auf zu lösen, wird dieser Entwickler höchstwahrscheinlich eine OpenSource-Bibliothek verwenden. Und sicherlich nicht nur eine. Somit sind Elemente von OpenSource praktisch überall vorhanden. Gleichzeitig sollte man verstehen, dass keine Software statisch ist, ihr Code ändert sich ständig. Daher funktioniert das Prinzip "Hochladen und Vergessen" für Code niemals – auch nicht für OpenSource-Code: So oder so wird irgendwann eine aktualisierte Version benötigt.

Im Jahr 2016 wurden die Folgen einer solchen Situation offensichtlich: Ein 28-jähriger Entwickler "brach" vorübergehend das Internet, indem er seinen zuvor veröffentlichten Open-Source-Code löschte. Diese Geschichte zeigt, wie zerbrechlich unsere Cyberinfrastruktur ist. Einige Personen, die für Open-Source-Projekte entscheidend sind, sind so wichtig für deren Aufrechterhaltung, dass das Internet im Falle eines unglücklichen Ereignisses wie einem Busunfall mit ihrem Verlust zusammenbrechen könnte.

Schwer wartbarer Code ist genau der Bereich, in dem die ernsthaftesten Schwachstellen der Cybersicherheit lauern. Einzelne Unternehmen ahnen oft nicht, wie anfällig sie durch solchen Code sind. Die mit diesem Code verbundenen Schwachstellen können sich sehr langsam zu einem ernsthaften Problem entwickeln: Systeme faulen langsam vor sich hin, ohne dabei sichtbare Ausfälle zu zeigen. Und wenn sie schließlich doch ausfallen, können die Konsequenzen verheerend sein.

Da OpenSource-Projekte in der Regel von Gemeinschaften von Enthusiasten, wie Linus Torvalds oder den zu Beginn erwähnten Hackern des „Modelleisenbahnvereins“, entwickelt werden, sind Probleme mit schwer wartbarem Code nicht mit herkömmlichen Mitteln (durch kommerzielle oder staatliche Einflussnahme) zu lösen. Mitglieder solcher Gemeinschaften sind eigenwillig und schätzen ihre Unabhängigkeit über alles.

Einwurf: Vielleicht bieten uns die Geheimdienste und die Entwickler von Antiviren-Software Schutz?

2013 wurde bekannt, dass es in der „Kaspersky Lab“ eine Spezialabteilung gibt, die Auftragsuntersuchungen im Bereich der Informationssicherheit durchführt. Bis vor kurzem wurde diese Abteilung von dem ehemaligen Polizeihauptmann Ruslan Stoyanov geleitet, der zuvor in der Hauptabteilung für öffentliche Sicherheit (USTM GUD Moskau) gearbeitet hatte. Alle Mitarbeiter dieser Spezialabteilung der „Kaspersky Lab“ stammen aus den Strafverfolgungsbehörden, einschließlich des Untersuchungsausschusses und der Hauptabteilung für öffentliche Sicherheit.

Ende 2016 wurde Ruslan Stoyanov vom FSB festgenommen, und ihm wurde Landesverrat vorgeworfen. Im selben Verfahren wurde Sergey Mikhailov, ein hochrangiger Vertreter des FSB-CIB (Zentrum für Informationssicherheit), festgenommen, auf den bis zu seiner Festnahme die gesamte Cybersicherheit des Landes abgewälzt war. [11]

Einleitung: Cybersicherheit durch Zwang

Bald werden russische Unternehmer gezwungen, ernsthaft auf Cybersicherheit zu achten. Im Januar 2017 erklärte Nikolai Murashov, ein Vertreter des Zentrums für Informationsschutz und spezielle Kommunikation, dass die KII-Objekte (kritische Informationsinfrastruktur) in Russland im Jahr 2016 mehr als 70 Millionen Angriffe erlitten haben. Zu den KII-Objekten gehören Informationssysteme von Regierungsbehörden, Unternehmen der Verteidigungsindustrie, Transport, Finanzwirtschaft sowie der Energie-, Brennstoff- und Atomindustrie. Zum Schutz dieser Infrastruktur unterzeichnete der Präsident der Russischen Föderation, Wladimir Putin, am 26. Juli ein Gesetzespaket „Über die Sicherheit der KII“. Bis zum 1. Januar 2018, dem Datum des Inkrafttretens des Gesetzes, müssen die Eigentümer der KII-Objekte ein umfassendes Maßnahmenpaket zum Schutz ihrer Infrastruktur vor Hackerangriffen umsetzen, insbesondere durch die Anbindung an das Staats-SoPka. [12]

Bibliographie