IT-Sicherheit für Bürger Aufklärung und Sensibilisierung sind wichtiger denn je

Ordnungsmerkmale

erschienen in: <kes> 2006^#2, Seite 43

Zusammenfassung: Ob im privaten oder geschäftlichen Umfeld: IT-Systeme sind verwundbar. Jeder Anwender trägt dabei im Kleinen Verantwortung für den Schutz des Internets im Ganzen, egal ob er in seiner Funktion als Arbeitnehmer den Schutz eines Unternehmen oder einer Behörde mitverantwortet oder in seiner Rolle als Bürger für den Schutz seiner Privatsphäre und seines Eigentums – und mitunter auch für das der anderen – Sorge trägt. Kostenlose Informationen und Hilfe zur effektiven Selbsthilfe bietet seit März das Bürger-CERT.

Autor: Von Anke Gaul, BSI

Im Zeitalter von Phishing-Angriffen und dem vermehrten Einsatz neuer Übertragungsverfahren wie Voice over IP (VoIP), Wireless LAN (WLAN) oder der von sehr vielen Bürgerinnen und Bürgern mittlerweile ständig genutzten Mobilfunkkommunikation, ist es unmöglich – ja fast schon fahrlässig – den Privatanwender als Zielgruppe nicht zu berücksichtigen und zu sensibilisieren. Die Zunahme an Bot-Netzen führt zudem dazu, dass private PC-Nutzer nicht mehr nur Opfer sind, sondern vermehrt auch zu technischen "Mittätern" werden. Immer mehr Bürger verfügen über einen Breitband-Internetanschluss, nicht wenige Computer sind rund um die Uhr ans Internet angeschlossen. Immer günstigere Flatrates machen es möglich, dass Bot-Netze dauerhaft aktiv werden können. Aufklärung und Sensibilisierung der Privatanwender sind daher wichtig wie nie zuvor, um die Auswirkungen konkreter Gefahren so gering wie möglich zu halten.

Die Erkenntnis einer Wechselwirkung von Akzeptanz und Vertrauen der Bürger in die Sicherheit von Internet-Transaktionen jeglicher Art einerseits und dem Angebot durch Wirtschaft und Verwaltung auf der anderen Seite, ist vielen Akteuren erst spät klar geworden – teils erst bei der Suche nach Gründen für ausbleibenden Erfolg. Durch schwindendes Vertrauen und dadurch, dass sich Nutzer möglicherweise von bestimmten Angeboten abwenden beziehunsweise diese nicht angenommen werden, können die Möglichkeiten der neuen Technologie nicht in vollem Umfang ausgeschöpft werden. Services und Images, die mitunter zeitaufwändig und kostspielig aufgebaut wurden, können zerstört werden. Dies sind Effekte, die die Wirtschaft mittlerweile erkannt hat und gegen die sie mit technischen Funktionen und gleichzeitigen vertrauensbildenden Maßnahmen versucht gegenzusteuern. Nicht zuletzt ist dies ein Grund, warum das Thema IT-Sicherheit zunehmend Gegenstand von Kampagnen und Initiativen ist, die in den vergangenen Monaten gestartet und medial beworben wurden.

IT-Sicherheit für Jedermann

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) war eine der ersten Institutionen, die auf eine direkte Ansprache der Bürgerinnen und Bürger setzte. Das Ziel: Eine von allen gesellschaftlichen Gruppen in Deutschland getragene Sicherheitskultur soll geschaffen und so die Rahmenbedingungen für die Entwicklung und den Einsatz sicherer Informationstechnik verbessert werden.

Bereits 2002 realisierte das BSI die CD-ROM "Ins Internet – mit Sicherheit", eine Anleitung für Bürgerinnen und Bürger zum sicheren Verhalten im Internet. Aufgrund der großen Nachfrage – mehr als 600 000 CDs wurden allein 2002 verteilt – und des permanenten Aktualisierungsbedarfs wurde das Portal  www.bsi-fuer-buerger.de entwickelt. Themen rund um die IT-Sicherheit werden kompakt und für Nicht-Profis verständlich aufbereitet: Welchen Schutz brauche ich überhaupt und wie kann ich mich schützen? Auch spezielle Themenbereiche, wie WLAN, VoIP und Online-Banking werden anhand von praktischen Beispielen zu konkreten Risiken beziehungsweise Schutzmaßnahmen erklärt. Ebenfalls zum Angebot gehören kostenlose Schutzprogramme zum Download.

Es muss jedoch festgestellt werden, dass viele Bürgerinnen und Bürger die gegenseitige Abhängigkeit, die durch die zunehmende Vernetzung der Informationstechnik und somit aller Lebensbereiche entsteht, leider nach wie vor nicht – oder zumindest zu selten – auf gesellschaftliche und wirtschaftliche Prozesse übertragen. Der einzelne Bürger nimmt seine Umgebung noch zu häufig als Mikrokosmos war. Er versteht sich nicht als Teil des Internet und erkennt somit nicht die Eigenverantwortung für die von ihm genutzte Technik in PC und Anwendungen.

Das Problem ist, dass für viele Menschen IT-Sicherheit offensichtlich etwas Abstraktes, keineswegs etwas Persönliches ist. Genau genommen ist sie aber gerade durch ihre Allgegenwart ein Teil der persönlichen Sicherheit. Man denke eben an Schäden, die jemandem durch Verletzung der Privatsphäre entstehen können. Ganz gleich ob finanziell oder emotional. Mit krimineller Energie versuchen Angreifer die Identität von Bürgern zu "stehlen" und damit Geschäfte zu deren Nachteil zu machen.

Motivation als Erfolgsfaktor

So weit, so schlecht! Doch wie können Bürgerinnen und Bürger zum Schutz des Internets und damit zu ihrem eigenen Schutz beitragen? Und noch entscheidender: Wie können Sie motiviert werden, den Schutz des Internets eigenverantwortlich voranzutreiben? Sicher ist, dass Maßnahmen nachlässig umgesetzt werden, wenn die Motivation hierfür unbekannt ist. Erst wenn die Motivation klar ist, kann der Nutzer verstehen und in der Folge wissen und handeln.

Ein befriedigender Lösungsansatz kann nur durch kontinuierliche Aufklärung und Sensibilisierung erreicht werden. Ein Hauptproblem dieser komplexen Aufgabenstellung liegt darin, dass beim Bürger meist kein "natürliches Interesse" am Thema IT-Sicherheit vorhanden ist. Im Marketing-Jargon würde man diese Art von Kunden deshalb als "Low-Involvement"-Kunden bezeichnen: Der zu übermittelnde Sachverhalt wird vom Empfänger nicht als wichtig, oftmals sogar als lästig empfunden. Provokativ könnte man daher sagen, dass Aufklärung auch in einer Art "trial and error"-Strategie bestehen könnte. Jeder, der schon einmal einen Schaden – in welcher Form auch immer – erlitten hat, ist für die Zukunft sensibilisiert. Das ist möglicherweise richtig, aber wem nützt das? Aufgrund des damit verbundenen Vertrauensverlusts der Bürger in das Medium Internet, wäre ein solcher Ansatz gesellschaftlich und wirtschaftlich nicht tragbar.

Um dem passiven Informationsverhalten der Bürgerinnen und Bürger bezüglich des Themas IT-Sicherheit Rechnung zu tragen, ist es hilfreich den Bürger dort abzuholen, wo er steht: Ihm muss die Möglichkeit gegeben werden, sich ohne großen zeitlichen und finanziellen Aufwand informieren zu können. Ein Informationsüberfluss bei gleichzeitiger Kontinuität der Information ist zu vermeiden.

Schützen – aber wie?

Die Antwort ist das Bürger-CERT! Zusätzlich zu dem bereits bestehenden Angebot von  www.bsi-fuer-buerger.de bietet das BSI gemeinsam mit seinem Partner Mcert Deutsche Gesellschaft für IT-Sicherheit, Internetnutzerinnen und -nutzern seit März 2006 die Dienstleistungen des Bürger-CERT an ( www.buerger-cert.de).

Die heutigen Angriffe und Gefahren aus dem Internet erfordern eine äußerst kurze Reaktionszeit. Konkrete Information, schnelle Kommunikation und verständliche Handlungsempfehlungen sind deshalb auch und gerade für den Bürger unerlässlich.

Aus dieser Notwendigkeit ist der Gedanke eines CERTs für Bürger entstanden. CERT bedeutet Computer Emergency Response Team, zu Deutsch: Computer-Notfallteam. Dahinter verbergen sich Spezialisten, die sich intensiv mit IT-Sicherheit beschäftigen. Sie beobachten in Netzwerken die IT-Infrastrukturen, geben Warnmeldungen und Sicherheitsinformationen heraus und bieten Unterstützung bei der Lösung von IT-Sicherheitsvorfällen. Bislang standen die Dienstleistungen durch private CERTs nur Unternehmen und durch das Computer-Notfallteam des Bundes im BSI, CERT-Bund, nur der öffentlichen Verwaltung zur Verfügung.

Anfang März gab Bundesinnenminister Dr. Wolfgang Schäuble in Berlin den Startschuss für das Bürger-CERT. Damit steht in Deutschland erstmals ein neutraler und kostenloser Warn- und Informationsdienst zur IT-Sicherheit für Bürgerinnen und Bürger sowie kleine Unternehmen zur Verfügung. Internetnutzer haben die Möglichkeit, sich bei konkretem Handlungsbedarf bei besonderen Risiken und Gefahren aufgrund von Sicherheitslücken im Internet schnell, kompetent und umfassend informieren und warnen zu lassen.

Bundesinnenminister Dr. Wolfgang Schäuble und BSI-Präsident Dr. Udo Helmbrecht haben am 2. März das Bürger-CERT eröffnet.

Mit dem Bürger-CERT wird der hohe IT-Sicherheitsstandard, über den Unternehmen und Behörden bereits verfügen, auch für die Bürgerinnen und Bürger erreichbar. Privatanwender sind durch die Dienste des Bürger-CERT bezüglich der bestmöglichen Schutzmaßnahmen für ihren PC stets auf dem aktuellsten Stand. Das Angebot des Bürger-CERT ist für die Nutzer kostenfrei. IT-Sicherheit ist für den Privatanwender also weder zeitaufwändig noch kostspielig.

Das Bürger-CERT bietet parallel drei verschiedene Inhalte des Warn- und Informationsdienstes an. Diese können vom Nutzer – seinem individuellen Schutzbedürfnis entsprechend – gewählt werden: Der Online-Newsletter "Sicher · Informiert" liefert vierzehntäglich einen Überblick über die wichtigsten Sicherheitsnachrichten. Bei extrem zeitkritischen Sicherheitslecks mit umgehendem Handlungsbedarf warnen "Extraausgaben" des Online-Newsletters. Die "Technischen Warnungen" mit detaillierten Hintergrundinformationen für technisch interessiertere und versiertere Anwender runden das Angebot ab.

Alle Dienste können unter der Internetadresse  www.buerger-cert.de abonniert werden. Der barrierefrei gestaltete Internetauftritt des Bürger-CERT enthält darüber hinaus ein Archiv zur Recherche in früheren Meldungen sowie ein Glossar, das IT-Fachbegriffe verständlich erklärt.

Der barrierefrei gestaltete Webauftritt des Bürger-CERT unter  www.buerger-cert.de

Zur Finanzierung des Projekts haben die öffentliche Hand und Partner aus der Wirtschaft ein starkes Bündnis zum Nutzen der Bürger geschlossen. Bund und ITK-Wirtschaft zeigen, dass sie ihre Verantwortung für den Schutz der IT-Infrastrukturen ernst nehmen. Wichtig ist dabei, dass kein redaktioneller Einfluss der Partner auf die unabhängige und herstellerneutrale Arbeit des Bürger-CERT gegeben ist.

Neutralität ist ein entscheidendes Erfolgskriterium des Dienstes, da nur so ein hohes Maß an Vertrauen geschaffen werden kann. Die Aufklärung über bestehende Risiken durch Hersteller von IT-Produkten im Hardware- und Softwarebereich ist zweifelsohne wichtig, denn nur eine entsprechende Reichweite kann die Auseinandersetzung mit dem Thema IT-Sicherheit am Leben halten. Es gilt jedoch, eine "Panikmache" zu vermeiden. Deshalb kommt dem Bürger-CERT eine besondere Aufgabe und Verantwortung zu. Die Internetnutzerinnen und -nutzer sollen sich darauf verlassen können, dass, wenn gewarnt wird, dies aus neutraler Quelle und mit einer akuten Handlungsaufforderung an den Nutzer geschieht.

Eigenverantwortung bleibt bestehen

Informationen, die dem Bürger komprimiert und leicht verständlich direkt auf den PC geliefert werden, entbinden ihn aber nicht von einer Eigenverantwortung. Nicht zuletzt zeigen ja auch die <kes>-Sicherheitsstudien immer wieder die Sicherheitsproblematik auf, die durch Irrtum und Nachlässigkeit beim Umgang mit IT gerade auch im Arbeitsumfeld entsteht. Kombiniert mit zunehmender krimineller Energie im Netz (vgl. S. 35) steigt auch das Gefahrenpotenzial. Jeder Bürger ist letztlich auch in seiner Funktion als Arbeitnehmer und Kollege angesprochen, negative Auswirkungen konkreter Gefahren zu vermeiden beziehungsweise so gering wie möglich zu halten. Die Motivation, die Handlungsempfehlungen umzusetzen, Sicherheits-Updates und Patches zu installieren, muss also weiterhin gefestigt werden. Ein "Rundum-Sorglos-Paket" gibt es im Bereich IT-Sicherheit nicht und wird es vermutlich auch nie geben – ein Grund dafür, dass Aufklärung und Sensibilisierung auch in Zukunft eine bedeutende Rolle spielen sollten.

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2006^#2, Seite 43