Zwischenruf Nr. 5

--- 07.09.2021 ---

Erst Avira, dann Sophos und Avast: Warum die Übernahmewelle bei den Virenschützern unsere IT-Sicherheit untergräbt

In den Tageszeitungen ist es nur eine Randnotiz. „Norton übernimmt Avast“ tickerten die Nachrichtenagenturen Anfang August. Das US-amerikanisches IT-Sicherheitsunternehmen NortonLifeLock kauft für acht Milliarden US-Dollar den größten Konkurrenten in Tschechien. Ein Deal nach bekanntem Strickmuster: Das US-Unternehmen will Know-How und Marktanteile in Europa dazu kaufen.

Das ist erlaubt und normalerweise kein Grund zur Sorge. Bei Branchenkennern läuten trotzdem die Alarmglocken. NortonLifeLock, besser bekannt unter seinem früheren Namen Symantec, schluckte bereits Ende 2020 den deutschen Virenschutz-Spezialisten Avira. Experten sehen darin den Vorboten einer Konsolidierungswelle, die auch in Europa weitere Unternehmen erfassen und wegspülen wird. Vor knapp einem Jahr, im Oktober 2020, hatte der US-Finanzinvestor Thoma Bravo bereits die Sophos AG - den größten britischen Anbieter von Virenschutzprogrammen - geschluckt.

Die Shoppingtour der US-Sicherheitsunternehmen trifft Europa an einer empfindlichen Stelle. Sicherheitssoftware ist zunehmend Cloud-basiert. Sonst könnte sie auf aktuelle Bedrohungen nicht so schnell reagieren. Mit dem Anschluss an solch eine Cloud gehen die Kunden allerdings zusätzliche Risiken ein. Ein vergleichsweise schwer einsehbarer Datenkanal zwischen den IT-Systemen der Kunden und dem Rechenzentrum des IT-Sicherheitsanbieters schöpft permanent verdächtige und weniger verdächtige Daten ab - und kann deshalb leicht missbraucht werden. Wie bei dem von der Bundesregierung ins Leben gerufenen europäischen Cloud-Projekt Gaia-X wird plötzlich die Herkunft des Anbieters sowie die Standorte der Rechenzentren zum entscheidenden Kriterium: Welche Unternehmen sind vertrauenswürdig genug, um ihnen den Zugriff auf diese Datenschätze zu gewähren? Deutschen und europäischen Anbietern eilt zumindest nicht der Ruf voraus, enge Verbindungen zu den Geheimdiensten in den USA und Russland zu pflegen.

Eigentlich hatte die Bundesregierung im Frühjahr 2021 einen Schutzwall gebaut, mit dem sie solche Übernahmen verhindern kann. Bei der Novelle des Außenwirtschaftsgesetzes setzte die Bundesregierung die Cybersicherheit auf die Liste der sicherheitskritischen Branchen, bei denen sie Veränderungen im Gesellschafterkreis ab einem Schwellwert von über 20 Prozent prüfen und untersagen kann. Das Problem ist nur: Der Bundeswirtschaftsminister will davon nur in Ausnahmefällen Gebrauch machen und hat dies bis jetzt auch noch nicht getan.

Die Bundesregierung sollte genauer hinschauen, welche ausländischen Unternehmen sich deutsche und europäische Cybersecurity-Technologien aneignen. Im Gegensatz zu anderen IT-Märkten gibt es noch keinen Monopolisten wie Google, Microsoft, Amazon oder Facebook, der die Spielregeln auf diesem sensiblen Markt bestimmt. Das Segment Cybersecurity wächst mit intakten Marktstrukturen und einer kaum noch zu überschauenden Zahl von Spezialisten, von denen keiner einen Marktanteil von mehr als zehn Prozent hat. Selbst der US-Riese Microsoft hat es trotz Investitionen in Milliardenhöhe bisher nicht geschafft, den im Betriebssystem Windows vorinstallierten Defender zum bevorzugten Schutz gegen Cyberangriffe auf den PC auszubauen.

Wenn Europa diese Marktstruktur erhalten will, sollten die hiesigen Unternehmen genauso so schnell wachsen wie die US-amerikanische Konkurrenz. Bisher hinken sie allerdings weit hinterher. Von den Top 500 der IT-Security-Branche, so eine Analyse des Marktforschers Securityventures, kommen nur 67 aus Europa. Deutschland fällt mit sechs Security-Unternehmen sogar hinter Großbritannien, Frankreich und Schweden zurück. Besonders schlimm ist: Keines der deutschen Top-Unternehmen schafft den Sprung unter die Top 100.

Das zu ändern, könnte eine ganz wichtige Aufgabe der neuen Bundesregierung sein. Sonst geraten die Wahlversprechen für mehr digitale Souveränität schnell zur inhaltsleeren Floskel. Bund, Länder und Gemeinden sollten ihre digitale Aufholjagd so gestalten, das Deutschland sein Schicksal bei der Abwehr von schweren Cyberangriffen in die eigene Hand nehmen kann.

Zwischenruf Nr. 4

--- 22.06.2021 ---

Naiv und unvorsichtig: Die riskante IT-Beschaffung des Bundestages

Der Bundestag könnte Vorbild für andere Institutionen sein und beim Einkauf sicherheitsrelevanter IT-Produkte deutschen und europäischen Unternehmen den Vorzug geben.

Der Bundestag ist das höchste Verfassungsorgan in Deutschland. Die Abgeordneten werden vom Volk gewählt und entscheiden über die wichtigsten Gesetze in unserem Land. Das ist die zentrale Säule unserer Demokratie – und die darf niemand untergraben. Eine Cyberattacke auf das Parlament wäre nichts anderes als ein Anschlag auf die Demokratie. Deshalb sollten die IT-Systeme zu den besonders widerstandsfähigen Infrastrukturen zählen, bei denen ausschließlich vertrauenswürdige europäische Anbieter zum Einsatz kommen.

Umso verwunderlicher ist, dass der Bundestag seine eigene Bedrohungslage offensichtlich weniger dramatisch einschätzt. Im kürzlich verabschiedeten IT-Sicherheitsgesetz fehlt das Verfassungsorgan auf der Liste der kritischen Infrastrukturen (Kritis), die besondere Schutzvorkehrungen gegen Hacker- und Cyberangriffe treffen müssen. Zu diesem exklusiven Zirkel zählen in Deutschland alle Lebens- und Wirtschaftsbereiche, die für das Funktionieren unserer Gesellschaft wichtig sind – also Energie, Wasser, Ernährung, Gesundheit, Telekommunikation, Finanz- und Versicherungswesen sowie Transport und Verkehr. Das Versorgen mit demokratischen Entscheidungsprozessen gehört bisher nicht dazu. Das hat erhebliche Auswirkungen auf die Beschaffungspraxis des Bundestages bei sicherheitsrelevanten IT-Systemen.

Im Gegensatz zu anderen streng regelementierten Kritis-Infrastrukturen bekommt der Bundestag bei der Auftragsvergabe die freie Wahl – und kann auch bei ausländischen IT-Anbietern einkaufen, die eng mit dem Staat oder seinen Geheimdiensten zusammenarbeiten. Das führt zu der skurrilen Situation, dass das IT-Sicherheitsgesetz für den Bau der neuen superschnellen 5G-Mobilfunknetze deutlich strengere Auswahlkriterien ansetzt als für die nicht minder sensiblen WLan-Hotspots im Berliner Parlament. Die Bundesregierung darf nur „Empfehlungen“ vor der Anschaffung wichtiger IT-Komponenten aussprechen. Mehr aber auch nicht. Die vertraulichen Daten der Abgeordneten bekommen dadurch weniger Sicherheitsrelevanz als die Daten aus den Vermittlungsrechnern großer Telekom-Konzerne.

Besonders deutlich zeigt sich das bei den WLan-Ausschreibungen der Bundestagsverwaltung, die der US-amerikanische IT-Riese Cisco gewinnt. In den 13 Liegenschaften des Bundestages sind inzwischen 2700 drahtlose WLan-Hotspots aufgebaut, zu denen die Abgeordneten und ihre Mitarbeiter – summa summarum 4500 Nutzer – jederzeit einwählen können. Das Risiko, das der Bundestag damit eingeht, ist seit den Enthüllungen des ehemaligen NSA-Agenten Edward Snowden bekannt: Die US-Geheimdienste hatten auch in die Router ihrer Hausmarke Cisco Hintertüren eingebaut, um die dort transportierten Daten abfangen und ausspionieren zu können.

Der Bundestag ist bei vielen – auch sicherheitsrelevanten – Komponenten seiner IT-Systeme gezwungen, aus Mangel an europäischen Alternativen mit US-amerikanischen Software- und Hardwareherstellern zusammenzuarbeiten. Bei WLan-Routern gibt es solch eine Monopolstellung des Marktführers Cisco nicht. Mit Lancom Systems aus Würselen bei Aachen und Octogate aus Paderborn bauen zwei Mittelständler eigene konkurrenzfähige und vertrauenswürdige WLan-Router auch für professionelle Einsätze, wie ihn die Abgeordneten des Bundestages benötigen. Solch ein prestigeträchtiger „Schaufenster“-Auftrag hätte Signalwirkung für andere Behörden und Branchen: Der Bundestag würde mit seinen eigenen Anschaffungen den wenigen Überlebenden der einstmals so starken deutschen Netztechnik den Rücken stärken. Und müsste nicht mit Forschungsförderung in Milliardenhöhe – wie beim europäischen Cloud-Projekt Gaia-X – den Wiederaufbau einer eigenen IT-Industrie starten.

Zwischenruf Nr. 3

--- 22.04.2021 ---

Der Blindflug der Unternehmen im Cyberkrieg

Die Zahl der Cyberangriffe steigt so rasant, dass viele Unternehmen auf einen Mehrfronten-Kampf mit mehreren Banden nicht vorbereitet sind. Das Problem ist hausgemacht: Um Kosten zu sparen, verzichten die Opfer auf die vollständige Aufklärung aller Attacken auf ihre IT-Systeme.

Studien über die aktuelle Bedrohungslage im Cyberraum kommen eigentlich immer zu dem gleichen Ergebnis: Die Zahl der erfolgreichen Cyberangriffe steigt stetig an. Eine Trendwende ist trotz zusätzlicher Investitionen in die IT-Sicherheit nicht in Sicht. Die in dieser Woche publizierten Ergebnisse einer Umfrage des Spezialversicherers Hiscox reihen sich da nahtlos in die schier endlose Kette ähnlicher Security-Reports ein.

Eher am Rande warnen die Autoren des Hiscox-Reports vor einer neuen Bedrohung, die in den Briefings des Bundesamtes für Sicherheit in der Informationstechnik (BSI) überhaupt noch keine Rolle spielt: Unternehmen, die nur einen einzigen Hackerangriff erlebt haben, sind nur noch eine kleine Minderheit. Die Mehrzahl räumt inzwischen ein, dass ihr Unternehmen von mehreren Hackergruppen erfolgreich unter Beschuss genommen wurde — entweder gleichzeitig oder zeitversetzt.

Die Unternehmen sind auf diese neue Form der Bedrohung überhaupt nicht vorbereitet. Dabei zeichnet sich schon länger ab, dass Cyberbanden bei ihren Opfern einen Mehrfronten-Kampf eröffnen. Bei rund einem Dutzend in Deutschland aktiven hochprofessionellen Angreifergruppen, die meist eng mit ausländischen Geheimdiensten zusammenarbeiten, ist es sehr wahrscheinlich, dass mehrere Gruppen besonders innovative Unternehmen ins Visier nehmen und die IT-Systeme mit ihren Spionageprogrammen verseuchen. Solche geschickt getarnten Angriffe bleiben über viele Monate und mitunter sogar Jahre unentdeckt. Genug Zeit für andere Angreifergruppen, ebenfalls dort einzudringen. Viele Unternehmen entdecken das erst, wenn auch noch die organisierte Kriminalität ihre IT-Systeme kapert und hohe Lösegelder zur Freigabe aller Daten fordert.

Diese offene Flanke ist Teil eines verantwortungslosen Missmanagements. Das Problem ist hausgemacht: Auch im Notfall stocken Vorstände und Geschäftsführer nicht das IT-Budget auf und verzichten auf eine vollständige Aufklärung des Cyberangriffs. Diese Erfahrung machen die von IT-Sicherheitsfirmen wie G Data in Bochum und Syss in Tübingen aufgebauten Spezialeinheiten, die Unternehmen bei besonders schweren Cyberangriffen zu Hilfe eilen. Ihre Notfall-Einsätze sind gefragt, mehr aber auch nicht. Danach dürfen sie wieder abrücken.

Dabei ist das IT-System nur von dem Schadprogrammen befreit, das den Alarm ausgelöst hat. Erst eine vollständige Gefahrenanalyse würde eine intensive Fahndung nach weiteren gefährlichen Eindringlingen auslösen, die sich schon länger in den IT-Systemen verstecken. Nur: Solch eine Jagd mit dem Einsatz neuester forensischen Methoden bei der Spurensuche ist den meisten Führungskräften zu teuer. Sie verzichten lieber auf vollständige Transparenz und machen im Blindflug weiter.

Zwischenruf Nr. 2

--- 09.03.2021 ---

Wenn Cyberspionage zur Lappalie wird

Können Sie sich noch an Edward Snowden erinnern? Vor sieben Jahren wirbelten die Enthüllungen des ehemaligen NSA-Agenten die Welt durcheinander. Die von Snowden veröffentlichten Geheim-Dokumente stellten die US-amerikanische IT-Industrie unter den Generalverdacht, eng mit den Nachrichtendiensten zu kooperieren.

Die Aufregung war groß, aber die Bundesregierung zog daraus nur eine Konsequenz. Um Spionage durch Hintertüren in IT-Produkten zu verhindern, formulierte der damalige Bundesinnenminister Thomas de Maizière im Sommer 2014 den sogenannten No-Spy-Erlass. Bei öffentlichen Ausschreibungen sollte nicht mehr nur der Preis eine zentrale Rolle bei der Auftragsvergabe spielen, sondern auch die Vertrauenswürdigkeit des Unternehmens. Wer mit Deutschland Geschäfte machen will, muss schriftlich die Garantie abgeben, nicht mit ausländischen Nachrichtendiensten bei Späh-Operationen zusammenzuarbeiten. Mit diesem Versprechen wollte die Bundesregierung versteckten Kooperationen ein Ende bereiten oder zumindest erschweren.

Das will sie offenbar immer noch. Denn in dem jetzt im Bundestag debattierten Entwurf des Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetze 2.0) sind solche Selbst-Erklärungen zur Vertrauenswürdigkeit mit hohen Vertragsstrafen bei Verstößen weiterhin enthalten.

Inzwischen scheinen einige Behörden die guten Vorsätze nach den Snowden-Enthüllungen aber wieder zu vergessen. Die politischen Ziele des No-Spy-Erlasses werden jedenfalls nicht mehr so gelebt wie sich das die Autoren im Bundesinnenministerium damals vorgestellt haben. Das zeigt eine unterschriftsreife Rahmenvereinbarung des Landeskriminalamtes (LKA) in Bayern. Bei der anstehenden Modernisierung der IT-Systeme soll der US-amerikanische Ausrüster Cisco Systems den 40-Millionen-Euro-Auftrag zur Erneuerung der Router und andere Netzkomponenten bekommen — mit einer No-Spy-Klausel, die ihren Namen nicht verdient.

Denn ausgerechnet bei der obersten bayerischen Kriminalbehörde, die im Zuge ihrer Ermittlungen auch überaus sensible Daten auswertet, verkümmert der No-Spy-Erlass zum zahnlosen Papiertiger. Sollte das Landeskriminalamt feststellen, dass Cisco einem ausländischen Nachrichtendienst Zugang zu vertraulichen Ermittlungsakten verschafft, dann deckelt der Kaufvertrag die dann zu zahlende Vertragsstrafe auf 10.000 Euro. „Im vorliegenden Fall“, erklärt das LKA auf meine Nachfrage, sei eine Vertragsstrafe in dieser Höhe „ausreichend“ — zumal „der Vertrag mit einem Zwischenhändler und nicht mit Cisco Systems geschlossen wird“.

Im Klartext heißt das: Wer einen Zwischenhändler einschaltet, bekommt quasi einen Freibrief. Spionage durch versteckte Hintertüren wird dann zur Lappalie. Eine Strafe in Höhe von 10.000 Euro kann jedes größere IT-Unternehmen locker aus der Portokasse zahlen.

Das bayerische Landeskriminalamt sendet damit das falsche Signal. So eine No-Spy-Garantie kann jeder Spion abgeben.

Zwischenruf Nr. 1

--- 16.02.2021 ---

Ruiniert Solarwinds den Ruf der IT-Branche?

Der Cyberangriff auf den US-amerikanischen Netzmanagement-Spezialisten Solarwinds stürzt die IT-Industrie in eine Vertrauenskrise.

Wenn Unternehmen ihre Abläufe und Prozesse digitalisieren, dann hören sie bei der Suche nach dem passenden IT-Anbieter gerne auf ihr Bauchgefühl. Oft gehen dann Systemlieferanten als Sieger aus den Ausschreibungen hervor, die auch Spezialisten für Cybersecurity sind oder sich zumindest solch einen Ruf erarbeitet haben. Große IT- und Cloud-Anbieter wie Microsoft und IBM, aber auch die Deutsche Telekom profitieren von diesem Vertrauensvorschuss und freuen sich über hohe Zuwachsraten auf dem Cybersecurity-Markt. All die Erfahrungen beim Schutz der eigenen IT-Systeme, so die laut hinaus posaunte Marketing-Botschaft, sollen auch den Geschäftskunden zugute kommen.

Dieses Bauchgefühl entpuppt sich inzwischen als eine gefährliche Illusion.
Denn eine wichtige Lehre ziehen Sicherheitsspezialisten aus dem kurz vor Weihnachten 2020 bekannt gewordenen Cyberangriff auf die bislang wenig beachtete US-amerikanische IT-Firma Solarwinds: Auch in den Lieferketten der IT-Systeme gibt es schwarze Schafe, die die Sicherheit ihrer Produkte vernachlässigen. Solarwinds fällt nach Ansicht des US-amerikanischen Cybersicherheitsexperten Bruce Schneier genau in diese Kategorie. „Sehr miese IT-Sicherheit, hervorgerufen durch eine bewußte Geschäftsentscheidung zur Kostenreduktion“, stellt er dem Top-Management ein ganz schlechtes Zeugnis aus. Dabei müssten Produkte wie die von Solarwinds gebaute Netzmanagement-Software Orion behütet werden wie ein Goldschatz. Denn sie sind die ideale Plattform, um über die regelmäßigen Updates Millionen von Unternehmen und Behörden in aller Welt mit Malware zu infizieren.

Auch Solarwinds-Großkunden wie Microsoft und Cisco hatten diese offene Flanke nicht auf ihrem Radarschirm und trugen letztlich zur massenhaften Verbreitung der Hintertüren bei. Selbst die hoch gelobten, selbstlernenden Frühwarnsysteme der IT-Riesen schlugen viel zu spät Alarm. Neun Monate konnten sehr professionelle Cyberbanden Solarwinds als Basis für ihre versteckten Operationen nutzen. Es wird mehr als neun Monate dauern, bis wir einen genauen Überblick bekommen, bei welchen Solarwinds-Kunden sich die Cyberspione überall einnisten konnten, welche Geheimdienste hinter den Operationen stecken und wie hoch die Schäden sind.

Es ist bereits der zweite Fall, der die Reputation der IT-Branche schwer beschädigt. Vor vier Jahren gelang es der vermutlich von China gesteuerten Hackergruppe „Cloud Hopper“, die IT-Systeme von mehr als 45 Technologieunternehmen zu kompromittieren, um auf diesem Wege die doch nicht so gut bewachten Datenschätze gutgläubiger Cloud-Nutzer zu heben. Die US-Administration konnte sogar zwei chinesische Mitglieder dieser Bande aufspüren und vor Gericht stellen. Nur: Eine komplette, öffentlich zugängliche Übersicht, welche Cloud-Anbieter nun wegen versteckter Hintertüren ein Sicherheitsrisiko sind, gibt es bis heute noch nicht. Der IT-Branche ist so viel Transparenz offenbar zu gefährlich. Dabei wäre Transparenz das erste Gebot, damit die Vertrauensbasis für die vielen, noch bevorstehenden Digitalprojekte erhalten bleibt.