Sichere Wege in der vernetzten Welt Stimmen vom 11. Dt. IT-Sicherheitskongress des BSI

Ordnungsmerkmale

erschienen in: <kes> 2009^#3, Seite 33

Zusammenfassung: Vom 12.–14. Mai fand der diesjährige "BSI-Kongress" statt. Die fachliche Fülle der Veranstaltung beansprucht erneut weit über 500 Seiten im Tagungsband, eine Kurzform erscheint da kaum angemessen – unsere Nachlese beschränkt sich daher auf die strategischen Aussagen der Eröffnungsreden.

"Unsere moderne Gesellschaft ist von funktionierenden IT-Infrastrukturen abhängig. Deshalb haben wir diesen Kongress unter das Motto 'Sichere Wege in der vernetzten Welt' gestellt", erläuterte BSI-Präsident Dr. Udo Helmbrecht zur Eröffnung des 11. Deutschen IT-Sicherheitskongresses des BSI, der Mitte Mai in Bonn-Bad Godesberg stattfand: "Diese sicheren Wege sind für jeden wichtig, der IT nutzt – sei es für die Arbeit von Behörden, Verwaltungen und Regierungen, für die Wirtschaft oder für Privatanwender." Im Fokus des diesjährigen Kongresses standen unter anderem Themen wie der elektronische Reisepass, mobile Sicherheit und Cyber-Kriminalität.

Bundesinnenminister Dr. Wolfgang Schäuble: "Unsere Sicherheitsbehörden müssen die gleiche fachliche Kompetenz und die gleichen technischen Möglichkeiten haben wie die Angreifer."

"Mit der Sicherheit und Verfügbarkeit der Computernetze steht und fällt die Funktionsfähigkeit unserer global vernetzten Gesellschaft", betonte auch Bundesinnenminister Dr. Wolfgang Schäuble in seiner Eröffnungsrede. Als eine besondere Gefahr bezeichnete er die Botnetze: "Cyberkriminelle setzen infizierte Rechner als Tatwerkzeuge ein, versenden Spam-Mails, starten Internet-Angriffe, legen Webseiten lahm. Es gibt bereits einen blühenden Markt der Botnetz-Vermietung. Oft sitzen die Drahtzieher im Ausland, wo sie bislang kaum haftbar gemacht werden können. Deutschland liegt, bezogen auf die Anzahl der mit Bots infizierten Computer, im Ländervergleich auf Platz 3. Mehr infizierte Computer gibt es nur noch in China und den USA."

Zwar habe in vielen Unternehmen die IT-Sicherheit heute im Vergleich zu früher einen deutlich höheren Stellenwert – ein ausreichend hohes Maß an IT-Sicherheit lasse sich jedoch auf Dauer nur erreichen, wenn neben Staat und Unternehmen auch die privaten Nutzer ihre Verantwortung ernst nehmen. "Staatliche Maßnahmen zur IT-Sicherheit werden nur dort wirklich greifen, wo die Menschen bereit sind, Regeln und Grenzen zu akzeptieren", betonte Schäuble. Freiheit könne sich immer nur in einem definierten Ordnungsrahmen verwirklichen: "Im Straßenverkehr haben wir gelernt, gemeinsam die Verantwortung für die Sicherheit auf der Grundlage unserer Straßenverkehrsordnung zu tragen. Wie in unserer realen Welt müssen wir auch im virtuellen Raum die Rechte und Pflichten der Nutzer klar definieren und allen die Konsequenzen einer Nichtbeachtung deutlich machen."

Bei der Bekämpfung von Botnetzen könne man das Übel zwar nur durch mehr internationale Zusammenarbeit an der Wurzel packen – man dürfe sich bei erforderlichen Maßnahmen aber nicht vom Argument notwendiger Internationalität lähmen lassen: "Natürlich müssen wir die internationale Kooperation bei der Bekämpfung von Cyber-Kriminalität und der Abwehr von Cyber-Angriffen ausbauen. Aber wir sollten auch alles tun, was national möglich ist, um unsere Infrastrukturen zu schützen. Und dazu gehört mindestens, dass unsere Sicherheitsbehörden die gleiche fachliche Kompetenz und die gleichen technischen Möglichkeiten haben wie die Angreifer", so der Innenminister weiter. Zudem wäre es auch wünschenswert, wenn Internet-Service-Provider (ISPs) die Übernahme eines privaten PCs durch ein Botnetz erkennen könnten, um dem Betreiber bei der Bereinigung seines Systems zu helfen oder dieses notfalls vom Netz zu nehmen.

Als Handlungsschwerpunkte der Bundesregierung in Sachen IT-Sicherheit nannte Schäuble einerseits eine verstärkte Eigensicherung der Bundes-IT sowohl durch erhöhte Sicherheitsausgaben (vgl. <kes> 2009^#2, S. 37) als auch durch die geplante Neuaufstellung des BSI. Deutschland brauche als exportabhängiger Hochtechnologiestaat "perspektivisch eine Stärkung unserer Cyber-Abwehrfähigkeit – dafür werden wir das BSI als Nukleus unserer IT-Sicherheitskompetenz weiter ausbauen müssen." Für die nächste Legislaturperiode zeichne sich zudem schon jetzt Handlungsdruck zur Abwehr von Wirtschaftsspionage durch ausländische Nachrichtendienste ab.

Kritische Infrastruktur: Internet

Dr. Rudolf Strohmeier, Kabinettschef der EU-Kommissarin für Informationsgesellschaft und Medien, stellte in einem weiteren Eröffnungsbeitrag fest: "Auch das Internet selbst gehört zur kritischen (Informations-)Infrastruktur!" Eine Störung von Verfügbarkeit oder Stabilität des Internets beträfe nahezu alle Bereiche der Informations- und Kommunikationstechnologie (IKT) und könnte erhebliche Auswirkungen auf weitere kritische Infrastrukturen haben – etwa in der Gesundheitsversorgung, dem Finanz- oder Transportwesen.

Dr. Rudolf Strohmeier, Kabinettschef der EU-Kommissarin für Informationsgesellschaft und Medien: "Auch das Internet selbst gehört zur kritischen Informations-Infrastruktur!"

Doch die IKT hat sich nicht nur zum Rückgrat unserer heutigen Informationsgesellschaft entwickelt, sie ermöglicht auch "neue aktive Formen der Teilhabe an der Gesellschaft und am demokratischen Prozess", erhöhte Kosten-Effizienz in der öffentlichen Verwaltung und ist zudem ein essenzieller Baustein für das Wirtschaftswachstum, betonte Strohmeier: Denn für 40 % der Produktivitätssteigerung der Wirtschaft sei die IKT verantwortlich.

Mit dieser enormen Bedeutung geht auch ein enormes Risiko einher: Strohmeier verwies hierzu auf Schätzungen des Weltwirtschaftsforums, nach denen eine 10–20 %-ige Wahrscheinlichkeit besteht, dass es in den kommenden 10 Jahren zu einem größeren Ausfall der krititischen Informations-Infrastruktur kommen wird – verbunden mit Kosten für die Weltwirtschaft von circa 250 Milliarden US-Dollar.

Angesichts der Risiko- und Bedrohungslage ergeben sich zahlreiche Herausforderungen, die weder die Europäische Kommission noch die Mitgliedsstaaten oder die Privatwirtschaft im Alleingang lösen können. In diesem Zusammenhang beklagte Strohmeier mangelnde Zusammenarbeit und zu wenig Kommunikation: "Zum heutigen Zeitpunkt ist die Koordination zwischen dem privaten und dem öffentlichen Sektor unzureichend. Auch der Informationsaustausch zwischen Betreibern von kritischer Informations-Infrastruktur und Anbietern von Diensten und Produkten, von denen die Verfügbarkeit und Stabilität dieser Infrastruktur abhängen, lässt sehr zu wünschen übrig."

Ein wichtiger Schritt sei, dass in Zukunft Verletzungen der Vertraulichkeit von Daten den zuständigen nationalen Behörden und den Betroffenen mitgeteilt werden müssen, wenn Gefahr für deren Privatheit besteht. Doch generell setze die EU-Kommission vorrangig auf Kooperation statt auf Regulierung – im April sei daher ein Aktionsplan mit zahlreichen Vorhaben veröffentlicht worden. Ein Handlungsschwerpunkt ist "Prävention und Abwehrbereitschaft" – hierzu soll auf Basis bestehender nationaler Initiativen und der operativen Tätigkeit der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) bis Mitte 2010 eine "Europäische öffentlich-private Partnerschaft für Robustheit" (EÖPPR) entstehen.

Ebenfalls gemeinsam mit der ENISA sollen außerdem Mindestkapazitäten für nationale Computer-Security-Incident-Response-Teams (CSIRT) festgelegt werden. Zudem unterstütze die Kommission Entwicklung und Einführung des Europäischen Informations- und Warnsystems (EISAS), das sich speziell an Bürger und KMU wende, und habe die Mitgliedsstaaten dazu aufgefordert, nationale Notfallpläne aufzustellen und regelmäßige Übungen durchzuführen.

Erst Nutzen, dann Sicherheit?

Prof. Dr. Guenter Dueck, Chief Technologist bei IBM, ging unterhaltsam und provokant mit der IKT ins Gericht: "Sicherheit ist wichtig, aber eigentlich haben wir ganz andere Probleme – die heutige Infrastruktur ist lausig, kompliziert und fragmentiert." Dueck plädierte, nicht alle IT-Probleme einfach hinzunehmen, aber auch nicht halbherzig nur akute Schwierigkeiten zu bekämpfen: "Wer Infrastrukturen erst baut, dann überlastet und dann noch einen Sicherheitsapparat obendraufpfropft, der sollte vielleicht noch einmal neu planen." Dazu bedürfe es aber auch einer klaren Vorstellung, was wir erreichen wollen – letztlich verbunden mit der Frage, wie wir künftig leben möchten. "Das geht aus Sicherheitsgründen nicht" sei dann keine gute Antwort: "Sicherheit sollte so sein, dass es einen nicht zu sehr ärgert – Vorschriften, die nicht gemocht werden, werden nämlich nicht beachtet."

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2009^#3, Seite 33
tag:kes.info,2007:lp:2009-3-A