Nationales Cyber-Abwehrzentrum offiziell eröffnet

Das Cyber-Abwehrzentrum wurde laut Beschreibung "als gemeinsame Plattform zum schnellen Informationsaustausch und zur besseren Koordinierung von Schutz- und Abwehrmaßnahmen gegen IT-Sicherheitsvorfälle errichtet." Federführend ist dabei das Bundesamt für Sicherheit in der Informationstechnik (BSI). Daneben sind auch das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) am Cyber-Abwehrzentrum beteiligt. Die drei Behörden stellen gemeinsam die zehn festen Mitarbeiter des Cyber-Abwehrzentrums.

Eigentlich nahm das Cyber-Abwehrzentrum bereits am 1. April seinen Dienst auf (gulli:News berichtete). Der Festakt erfolgte aber erst heute. Parallel begannen auch zusätzliche Behörden ihre Mitwirkung beim Cyber-Abwehrzentrum. Seit heute wirken neben den drei oben genannten Behörden auch das Bundeskriminalamt (BKA), die Bundespolizei (BPol), das Zollkriminalamt (ZKA), der Bundesnachrichtendienst (BND) sowie die Bundeswehr als assoziierte Behörden mit.

Friedrich betonte in seiner Rede die steigende Wichtigkeit des neu gegründeten Zentrums. Man müsse feststellen, dass die Gefahr von Angriffen auf kritische Infrastrukturen zunehme, so der Bundesinnenminister. Das Cyber-Abwehrzentrum ist Bestandteil der vom Bundesministerium des Innern erarbeiteten Cyber-Sicherheitsstrategie für Deutschland, die von der Bundesregierung am 23. Februar 2011 beschlossen wurde (gulli:News berichtete).

Kritisch äußerte sich der als Cyberkriegs-Experte geltende Informatiker Sandro Gaycken über das Cyber-Abwehrzentrum. In einem Interview mit der ARD sagte Gaycken, es sei zwar sinnvoll, die Koordination zwischen verschiedenen Behörden zu verbessern, wozu das Zentrum durchaus beitragen könne. Ansonsten werde sich durch das Cyber-Abwehrzentrum aber "nicht viel ändern". Es fehle "an technischen Konzepten, um qualitativ hochwertige und gefährliche Angriffe überhaupt erkennen zu können." Zudem bezweifelt Gaycken, dass die Behörden die kritischen Infrastrukturen, die in privater Hand sind - was auf einen Großteil dieser Systeme zutrifft - effektiv gegen Bedrohungen durch Cyber-Angriffe und Wirtschaftsspionage schützen können.

Im Gegensatz zu Wirtschaftsspionage und "normaler Online-Kriminalität" wie Erpressung und Betrugsdelikten sind regelrechte Angriffe auf kritische Infrastrukturen aber nach Gayckens Ansicht nicht besonders wahrscheinlich. Solche Angriffe seien nämlich "extrem schwierig und aufwändig", wenn sie erfolgreich sein sollen. "Um eingebaute Sicherheitsmechanismen zu umgehen und mehrere Systeme langfristig zu stören, braucht man viele, sehr gute Experten. Man muss mit den Herstellern der Systeme oder deren Ex-Personal kooperieren, um zu verstehen, wie sie intern funktionieren. Man braucht Nachrichtendienste zur Unterstützung, weil die Systeme oft nicht am Internet hängen. Das alles sind Dinge, die organisierte Kriminelle mit viel Aufwand leisten könnten. Aber ich halte es für unwahrscheinlich, dass sie so viel Geld ausgeben würden, um in irgendwelche Kraftwerke einzubrechen. Außerdem ist ihnen das zu gefährlich. Das sind Dr. No-Erpresservisionen!," erklärte Gaycken.

Grundsätzlich hält der Sicherheitsexperte die Idee des Cyber-Abwehrzentrums für gut, die Umsetzung aber für mangelhaft. Er sagte: "Seit Jahren hat sich keiner um das Thema IT-Sicherheit gekümmert, es war auch nicht so naheliegend. Es gab ein paar Teenies und ein paar Kleinkriminelle, die gehackt haben. Jetzt kommen aber Akteure, die ernster zu nehmen sind und von denen größere Bedrohungen ausgehen. Deshalb ist es gut und begrüßenswert, dass die Bundesregierung solche IT-Einheiten gründet. Das sieht auch die Industrie so. Allerdings sagt die auch, das Abwehrzentrum sei billiger, dahingepfuschter Kram, wofür keiner Geld ausgeben wollte." Das Zentrum sei "der Versuch, mit wenig Geld und wenig Konfliktpotential etwas zun tun." Dementsprechend müssten weitere, effektivere Maßnahmen folgen. "Das Zentrum wird in dieser Form keine Sicherheit bieten. Es wird keine Frühwarnsysteme, keine Schutzkonzepte und auch kein Krisenmanagement liefern. Es ist ein erster vorsichtiger, kleiner Schritt," so die Einschätzung Gayckens.

Für einen effektiven Schutz fordert Gaycken einen radikalen Schritt: kritische Systeme sollen nach Möglichkeit ganz vom Netz getrennt und auch sonst dezentralisiert werden. "Der richtige Schritt wäre eine Entnetzung. Die Netzwerke müssten zurückgebaut und verkleinert werden. Während der letzten 20 Jahre wurde schleichend überall IT hingebaut. In vielen Bereichen haben wir uns Netzwerke und IT aufquatschen lassen und brauchen sie dort gar nicht. Stattdessen könnte man mit einfacheren Lösungen arbeiten, gerade in kritischen Bereichen. Deshalb ist mein Rat, am besten das ganze Zeug wegzuschmeißen und es neu zu bauen. Aber das würde natürlich sehr viel Geld kosten," so die Einschätzung des Experten.

Daneben sieht Gaycken auch "Insider-Spionage" als ernstzunehmende Bedrohung, der es zu begegnen gilt. Gaycken ist der Ansicht, dass der Staat in der Pflicht ist, die Unternehmen zu effektiveren Schutzmaßnahmen zu verpflichten. Er erklärte: "Es ist notwendig, viel radikaler sichere IT zu entwickeln. Der Staat müsste das initiieren. Lediglich Empfehlungen, wie die Sicherheit verbessert werden kann, helfen nicht weiter. Die Erfahrung hat gezeigt: Die Unternehmen gucken sich an, was es kostet, und sagen, vielen Dank für die Empfehlung, aber Sie können wieder gehen. Die Unternehmen müssten per Gesetz verpflichtet werden, Schutzsysteme zu implementieren."

Auf verfassungsrechtliche Bedenken, dass die Kooperation von Polizei, Militär und Nachrichtendiensten im Cyber-Abwehrzentrum das Trennungsgebot verletzen könnte, wollte Gaycken nicht eingehen. Auf die entsprechend Frage sagte er: "Das ist die politische Betrachtung. Aus taktischer Sicht ist es natürlich klug, die unterschiedlichen Perspektiven bei der Analyse zu nutzen, denn ein Kriminalist guckt auf einen IT-Angriff ganz anders als ein Militär. Ein Militär sucht Taktiken, Ziele und Fähigkeiten, ein Kriminalist eher Motive, Geld und ähnliches. Von daher könnte der eine leicht etwas übersehen, was der andere entdecken würde. Und die Geheimdienste sind sehr, sehr kompetent - meiner Meinung nach mit Sicherheit die kompetentesten Ansprechpartner für diese Cyber-Themen. Es wäre dumm, sie außen vor zu lassen."

Für wenig klug hält Gaycken dagegen eine stärkere Konzentration auf die internationale Zusammenarbeit beim Schutz kritischer Infrastrukturen. Solche Pläne sehe er "sehr skeptisch", so der Sicherheitsforscher, da andere Länder wie die USA "eine andere technische Landschaft als wir und damit andere Probleme" hätten. Zudem seien die politische Situation und die Motivation der Behörden unterschiedlich: "[D]ie Amerikaner verfolgen auch ganz andere Ziele. Sie wollen eine maximale Kontrolle des Internets mit richtig dicker Überwachung an allen Punkten. Das ist für uns weder notwendig, weil wir nicht so stark vom Internet abhängig sind wie die Amerikaner, noch in irgendeiner Weise wünschenswert, weil wir eine andere Rechtskultur haben."