[Chaos CD][Contrib] [Chalisti] [15]- BSI: Doch ein Schrecken ?

BSI: Doch ein Schrecken ?

BSI: Doch ein Schrecken ?

Ein halbes Jahr existiert das neue Bundesamt fuer Sicherheit in der Informationstechnik schon. Im Augenblick noch in 3 Haeusern getrennt untergebracht, wird das neue alte Bundesamt im August in ihr Gebaeude in Bonn-Bad Godesberg, gegenueber dem Hotel Maritim, einziehen. Interessant fuer uns sind aber weniger die neuen Gebaeude, als eher die Arbeit des Bundesamtes. Wie in der Chalisti 14 geschrieben, ist das BSI mit seinem Arbeitsbereich fuer den CCC ein Augenmerk wert. Die Frage, ob - und besonders wie - es seine Aufgaben wahrnimmt ist nicht nur fuer uns, sondern fuer die Gesellschaft im allgemeinen von besonderer Wichtigkeit. Wenigstens sollte es so sein, aber das Amt kann im Stillen seinem Aufbau nachgehen und bekommt von vielen Seiten - auch Journalisten - eine Schonfrist zugestanden. Wir halten im Hinblick auf die zukuenftige Entwicklung der Gesellschaft zur Informationsgesellschaft die Arbeit des Bundesamtes fuer zu wichtig, um es jetzt einer zu langen Schonung zu gewaehren. 100 Tage sind lange vorbei, also machen wir uns Gedanken ueber das BSI ... Am Anfang sehen wir unsere Aufgabe darin weitere Informationen ueber das BSI zu geben, so wie es uns bekannt und belegbar ist. Die wichtigsten Informationen ueber eine zentrale staatliche Stelle sind Personen, Struktur und Finanzen. Also beschaeftigen wir uns erstmal mit diesen Punkten. Dabei wollen wir versuchen besonders Zusammenhaenge und Hinter- grundwissen zu vermitteln. Wir tragen damit u.A. auch Material zusammen, welches schon im Spiegel oder anderen Publikationen veroeffentlicht wurde. Struktur -------- An der Spitze des BSI steht als Praesident Dr. Otto Leiberich. Knapp ueber 60 Jahre alt, 1946 Abitur, 1947 Mathematik an der Uni Koeln studiert, 1953 Promotion mit einem Thema aus der hoeheren Algebra, danach wissenschaftliche Taetigkeit, dann Dienst in der Zentralstelle fuer Chiffrierwesen (ZfCh) und dem spaeteren ZSI. Davon zwischen 1962 und 1974 Chefmathematiker und seit 1974 Leiter des ZSI und eben heute Praesident des BSI. Als Vizepraesident steht ihm Dr. Mertz beiseite. Diesen beiden Personen sind die 6 Abteilungen des BSI unterstellt. Des weiteren sind diese Abteilungen in mehrere Referate unterteilt. Wir stellen sie hier dar, wie der Stand am 25. Maerz 1991 war. Die Quelle sind die Informationen ueber 'Struktur, Ausstattung und Planungen des BSI vom 5.4.1991. Soweit wir hier feststellen konnten, hat sich weder an der Struktur noch an den Personen wesentliches veraendert. Insbesondere sind die hier als N.N. angegebenen Posten bis heute noch nicht besetzt worden. Abteilung I 'Zentrale Aufgaben', Dr. Mertz, Durchwahl: -655 Referat I 1, RR Dickopf, -313 Grundsatz, Recht, Organisation, IT-Koordinierung, Zentrale Dokumentation, Bibliotkek, Oeffentlichkeitsarbeit Referat I 2, RD'n Dr. Werthebach, 346599 Personal Referat I 3, Wahrnehmung durch AL I Haushalt, Beschaffung Referat I 4, RR Samsel, -653 Innerer Dienst, Sicherheit Abteilung II, 'Wissenschaftliche Grundlagen und Zertifizierung', N.N. Zu dieser Abteilung gehoert unter anderem auch die Technologiefolgen- abschaetzung unter IT-Sicherheitsaspekten, wobei diese im Augenblick eher von Abteilung zu Abteilung geschoben wird. Es fuehlt sich de facto keiner zustaendig. Die Hoffnung auf eine eigene Abteilung dieses komplexen Themas und Forschunggebietes kann schon jetzt so gut wie aufgegeben werden. Geplante Unterteilung: - Mathematische Grundlagen - Technische Grundlagen - Allgemeine Analyse des Gefaehrdungspotentials, Grundlage der Systemsicherheit und Evaluierung - Zertifizerung, Zulassung, Normung Abteilung III, 'Mathematische Sicherheit', RD Hange, -660 Dieser Abteilung obliegt im Rahmen des Par. 3, Abs. 1, Nr. 6 BSIG bei Bedarf auch der Entzifferung von Straftaetern entwickelter Verfahren zur Verschluesselung, z.B. aus der Rauschgiftszene. Referat III 1, N.N. Entwicklung mathematischer Sicherungsverfahren Referat III 2, ORR Dr. Liebefrau, -658 Evaluierung mathematischer Sicherungsverfahren Referat III 3, N.N. Sicherheitsanalyse Referat III 4, RD Bahr, -659 Software-Realisierung mathematikscher Sicherungsverfahren Abteilung IV, 'Technische Sicherheit', VA Schwirkmann, -569 Diese Abteilung begleitet die Entwicklung von neuen Produkten bezuegl. Sicherheitserkenntnissen und verfuegt ueber eine langjaehrige Erfahrungen mit den zustaendigen Stellen in den USA und bei der NATO. Referat IV 1, BD Siedentop, -573 Technische Realisierung mathematischer Sicherungsverfahren Referat IV 2, BOD Dr. Hembach, -641 Verschluesselungssysteme Referat IV 3, BD Koos, -423 Schluesselmittel Referat IV 4, BD Dr. Dorst, -546 Abstrahlsicherheit Referat IV 5, BOR Sanne, (02254) 38-(1) 276 (ehemals BSG/BMI) Lauschabwehr, Abstrahl- und Lauschabwehrpruefungen Referat IV 6, RD Schnelder, (0221) 7924205 Materielle Sicherungstechnik Abteilung V, 'Sicherheit in Rechnersystemen', LRD Everts, -232 Aus dieser Abteilung kommen die bekannten IT-Sicherheitskriterien, sowie das gerade in Vorbereitung befindliche IT-Sicherheitshandbuch, welches im Herbst erscheinen soll. Der von Dr. Leiberich geaeusserte Wunsch, dass sich das BSI vordringlich mit Verschluesselung und Lauschabwehr - gerade auch im Hinblick auf neue Gefahren von innen und aussen - schlaegt sich hier deutlich nieder. Referat V 1, ORR Felzmann, -234 Systembezogene Risikoanalyse Referat V 2, ORR van Essen, -228 IT-Sicherheitstandards Referat V 3, BD Dr. Kreutz, -229 Massnahmen zur Systemsicherheit Referat V 4, ORR Dr. Kersten, -237 Evaluierung von IT-Systemen/-Komponenten Referat V 5, ORR Dr. Ganser, Technik fuer Systemevaluierung und -entwicklung Abteilung VI, 'Beratung und Unterstuetzung', N.N. Die Planstellen in dieser Abteilung koennen fruehstens 1992 beantragt werden. Allein die Beratungseinheit fuer den materiellen Geheimschutz existiert erstmal, weil diese vom Verfassungsschutz uebernommen wurden. Referat VI 1, N.N. Grundsatz, Schulung, Informationsdienst Referat VI 2, RD Meissner, (0221) 7922508 Beratungsdienst I Referat VI 3, N.N. Beratungsdienst II Referat VI 4, N.N. Unterstuetzung der Polizeien, Strafverfolungs- und Verfassungsschutzbehoerden, Auswertung der Sicherheits- erkenntnisse. Personal -------- Fuer das Jahr 1991 verfuegt das BSI 278 Planstelle/Stelle. Davon wurden 153 vom BND, 41 von BfV und 24 vom BGS uebernommen, sowie 60 neu geschaffen. In den naechsten Jahren soll fuer 1992 50, fuer 1993 10 und fuer 1994 15 weitere Planstellen/Stellen geschaffen werden. Innerhalb der Abteilungen besteht folgenes Verhaeltnis der Planstellen/Stellen: 2.4.1991 1992 1993 1994 Abteilung I : 61 (besetzt: 39) 6 - - Abteilung II : 18 (besetzt: 7) - - - Abteilung III: 18 (besetzt: 6) 3 - - Abteilung IV : 119 (besetzt: 89) 8 - - Abteilung V : 40 (besetzt: 18) 10 - - Abteilung VI : 18 (besetzt: 15) 23 10 15 Zum Teil wird das Personal uebergangsweise in seinen urspruenglichen Dienststellen beim BfV und beim BGS unterkommen. Den Stellenwert der einzelnen Abteilungen kann jeder Anhand der Personal- zahlen und im Verhaeltnis zu den Aufgaben gemaess BSIG (siehe Chalisti 14) selbst ablesen. Aber auch die Finanzen koennen ueber das BSI eine Menge aussagen. Besonders zu kritisieren ist der Punkt 'Beratung'. Die Abteilung IV wird nur langsam erweitert und erreicht als einzige Abteilung ihre Ausbaustufe erst 1994. Finanzen -------- Dem BSI stehen im Haushaltsjahr 57,1 Millionen DM zur Verfuegung. Davon 22,6 Millionen DM fuer Forschung. In diesen 22,6 Millionen sind insgesamt 15 Millionen fuer die ehemalige BND-Unterabteilung ZSI 'Chiffrierverfahren und Messverfahren fuer kompromittierende Abtrahlung' vorgesehen. Dazu hat der Bundesrechnungshof am 10.4.1991 fuer die Sitzung des Innenausschuss des Bundestages am 17.4. festgestellt: "Das BSI hat keine Forschungsarbeiten durchzufuehren. Diese urspruenglich im BSI-Errichtungsgesetz aufgenommene Aufgabe wurde bei den Ressortberatungen ausdruecklich gestrichen, um eine praxisbezogene Arbeitsweise des Bundesamtes sicherzustellen.". Es werden also Gelder nicht gesetzgemaess eingesetzt. Laut Auskunft eines Mitarbeiters des BSI soll aber der Bundesrechnungshof (BRH) dies inzwischen teilweise zurueckgenommen haben. Allerdings konnten wir in keiner unserer Unterlagen - bis hin zum Antrag auf eine entsprechende Gesetzesaenderung, die diese Haushaltsmittel betreffen - fuer diese Aussage einen Beleg finden. Aber nicht nur die Tatsache ist interessant. Auch fuer was dieses Geld im Bereich der Forschung ausgegeben wird. Schon bestehende Vertraege ueber Entwicklungen beim BSI regen zum denken an: - Entwicklung eines hochintegrierten Kryptomoduls fuer den universellen Einsatz in IT-Sicherheitsprodukten: 1.000.000 DM - Entwicklung eines Schluesselgeraetes fuer packetvermittelte Netze (Datex-P). Dieses Geraet kann auch fuer Verbindungen zwischen Rechnern verwendet werden, die ueber das Breitband-ISDN verbunden sind: 500.000 DM (Anm. der Redaktion: Die Verschluesselung von DatexP und ISDN Inhaltsdaten (vermutlich auf der Ebene des HDLC) ist eine Massnahme, die besonders fuer Militaers und Behoerden interessant ist. Wirtschaft und noch mehr die Gesellschaft muessen genauso an dem Schutz der Verkehrsdaten (Wer mit wem wann was) interessiert sein. Entsprechende Mechanismen existieren in der Theorie, wie z.B. an der Uni Karlsruhe bei Dr. A. Pfitzmann, aber diesbezuegl. ist beim BSI nix zu sehen. Der Staat schuetzt sich, vergisst aber die Buerger zu schuetzen. Dies ist auch ein kleiner Punkt, der auf- zeigt WO das BSI SChwerpunkte setzt.) - Entwicklung von Kleinschluesselgeraeten fuer den Polizeibereich, um diesebn weitgehend abhoersicher zu machen: 500.000 DM - Entwicklung von hochintegrierten Kryptochips, die bei vielen Anwendungen in der IT verwendet werden: 1.600.000 DM - Entwicklungen auf dem Gebiet der Abstrahlmesstechnik und Lauschabwehr (z.B. Entwicklung eines speziellen Messempfaengers und einen Roentgenmess- platzes): 1.668.000 DM Diese sind exemplarisch fuer Gegenstaende im Haushaltsplan die auf Grund ihrer Techniken zentral fuer Geheimdienste oder das Militaer interessant sind. Dem gegenueber stehen aber auch Mittel fuer Aufgaben, die eher fuer die Wirtschaft und Gesellschaft wichtig sein koennten: - Erprobungsmuster Schluesselmittelverteilung (KDC): 5.000.000 DM (Anm. der Redaktion: Dies koennte fuer Verfahren der elektronischen Unterschrift wie z.B. TeleTrust bei der GMD interessant sein) - Erstellung des IT-Sicherheitshandbuches: 40.000 DM (Anm. der Redaktion: Soll im Herbst erscheinen und enthaellt z.B. auch zwei Kapitel ueber Risikoabschaetzung und Technologiefolgenabschaetzung). - Entwicklung von asymetrischen Verfahren fuer die Verschluesselung von Authentisierungs- und Signatureverfahren (elektronische Unterschrift). (Anm. der Redaktion: Asymetrische Verfahren sind Public Key Kryptoverfahren, wie z.B. RSA (dazu siehe Chalisti 6)). Bedenklich sind dann aber schon wieder angegebene Sachmittel fuer die Evaluierung des Betriebssysteme von Siemens BS 2000 (450.000 DM) und Sinix (40.000). Hier sind klar die Frage zu stellen, warum die Betriebssysteme von Siemens auf Kosten des Steuerzahlers evaluiert werden. Bei einer Einstufung des Systemes in die IT-Sicherheitskriterien entstehen der Firma klare Wettbewerbsvorteile gegenueber anderen Mitbewerbern und ein solcher Eingriff in den Markt ist sicher nicht zulaessig. Natuerlich koennte angefuehrt werden, dass diese Betriebssysteme in der oeffentlichen Verwaltung eingesetzt werden und daher die Einstufung fuer den Bund interessant ist. Fuer den Fall ist natuerlich zu fragen, ob die entstehenden Kosten der Evaluation bei Entscheidungen ueber neue Anschaffungen berueck- sichtigt werden und ob solche Firmen wie Siemens die Ergebnisse der Evaluation erfahren und damit dann auch wieder Werbung machen koennten. Dabei existiert klar die Aussage aus dem BSI, dass die Zertifizierung vom Antragssteller zu bezahlen ist und dafuer gibt es auch einen entsprechende Gebuehrentabelle. Auf Anfrage wurde uns mitgeteilt, daSS die im Haushalts- plan keine Evaluationskosten, sondern Forschungsmittel darstellen. Warum steht da aber explizit "Evaluation des Betriebssystemes BS2000" ??? Eine andere Auskunft lautete, dass diese Evaluationen noch aus der Zeit des ZSI seien. Auf der einen Seite meint das BSI, dass es nicht fair waere immer an ihre Vergangenheit zu erinnen, da sie ja etwas neues seien. Auf der anderen Seite werden groessere Summen fuer Aufgaben aus dieser Vergangenheit bereitgestellt. Schizophren ? Auf jeden Fall ist im Vergleich zu der Gesamtaufwendung, ist der Bereich der potentiell wirklich beitragen koennte bestimmte Risiken fuer die Gesellschaft zu vermindern recht laecherlich und wohl eher mit anderer Intention in den Plan genommen worden. Dabei ist dies auch eine Aufgabe des BSI. Natuerlich sind nicht nur die laufenden Vertraege - die zum Teil noch aus ZSI-Zeiten sind - interessant, weil sie wenig ueber die aktuelle Arbeit. des BSI aussagen. Daher sind die demnaechst vorgesehenen Vergaben noch weit aus interessanter. Geplant sind: - Sicherheitsuntersuchung des Secury Communication Processor SCOMP der Firma Honeywell; Einsatz geplant bei NATO-Agenturen: 750.000 DM - Untersuchung des Betriebssystemes OS/2 mit Zusatzkomponenten (Vor- untersuchungen schon 1990 durchgefuehrt): 650.000 DM. - Entwicklung eines Prototyps fuer die Datensicherung in lokalen Netzwerken (geplant fuer AA): 900.000 DM - Weiterentwicklung (Anm. der Redaktion: !!!) von Protokollierungs- Verfahren zur Erfassung sicherheitsrelevanter Ereignisse (Daten- veraenderung, Manipulation, u.a.): 150.000 DM - Nutzung von Entwicklungen der kuenstlichen Intelligenz zur Sicherheits- ueberwachung von Anwendenderhandlungen in IT-Systemen (Anm. der Redaktion: Oder anders gesagt: Little Brother is watching you, on your system): 150.000 DM - Entwicklung und Weiterfuehrung von "Anti-Viren"-Programmen und -Aktionen, besonders fuer den Bereich der Bundes- und Laenderbehoerden: 70.000 DM - Studie uebner eine Informationsbnk zur Beratung ueber den Einsatz von IT-Sicherheitsprodukten: 178.000 DM - Marktstudie ueber PC's und Netzwerke als Grundlage fuer Beratung und Entwicklung: 69.000 DM - Entwicklung eines Werkzeuges zur Spezifikation und Verifikation von IT-sicherheitsrelevanter Software - Studie ueber die Sicherheit eines Buerokommunikationssystems im Bundeskanzleramt: 100.000 DM - Entwicklung eines Ueberwachungszusatzes fuer Abstrahluntersuchungen an IT-Sicherheitsprodukten: 200.000 DM - Entwicklung von Prototypen des Schluesselgeraetes ELCORVOX 1-5: 800.000 DM Bei diesen Zahlen verwundert das Resuemee des BRH nicht: "Wir haben den Eindruck, dass die neuen, durch das BSI-Gesetz festgelegten Aufgaben, die letztlich die Ursache fuer die Errichtung des BSI waren, ueber die Wahr- nehmung der alten, noch aus dem BND-Bereich stammenden Aufgaben nicht ihrer Bedeutung entsprechend beruecksichtigt werden. [...] Erkenntnisse aus unseren Pruefungen auf dem Gebiet der Sicherheit der Informationstechnik zeigen, dass die festgestellten, schwerwiegenden Maengel nicht aus fehlenden Chiffrierverfahren und -geraeten resultieren, sondern wesentlich im fehler- haften Einsatz und der mangelnden Kontrolle der IT begruendet sind. U.E. sollte die Errichtung des BSI nicht als Fortfuehrung der Arbeiten der ehemaligen BND-Unterabteilung ZSI mit zusaetzlichen Aufgaben in einem anderen Geschaeftsbereich verstanden werden; die Aufgabenschwerpunkte sollten sich vielmehr im gesetzlich festgelegten Rahmen am vordringlichen Bedarf der gesamten Bundesverwaltung orientieren." Ein Schnitt fuer das BSI ? -------------------------- Als CCC'ler bin ich zusaetzlich der Meinung, dass genau diese Fortfuehrung der ZSI im BSI vielfach befuerchtet wurde, und nun anscheinend auch ein- treten. Die Warnungen an Oeffentlichkeit und Politik sind Jahre alt und wurden kaum gehoert. Egal ob diese von bekannten Professoren oder verschiedenen gesellschaftlichen Gruppen vorgebracht wurden. Es ist erfreulich, dass der Bundesrechnungshof von selbst die Erkenntnis gewonnen hat, dass diese Befuerchtungen evntl. doch der Wahrheit entsprechen koennten und von seiner Seite her auch Taten folgen laesst. So hat der BRH im Aenderungsantrag vom 21.5.1991 dem Bundestag vorgeschlagen, die Titel die sich auf 'Kosten fuer Forschungs- und Entwicklungsvorhaben' beziehen sowie den damit in Zusammenhang stehenden Erwerb von Geraeten, etc zu sperren. Dabei handelt es sich ingesamt um eine Summe von 12,45 Millionen DM. Wie der BRH bin ich auch der Meinung, dass die Beratung gerade des normalen Betroffenen garnicht und die Beratung der Wirtschaft kaum beruecksichtigt wurde. Leider hat das BRH sich garnicht zum Bereich der Forschung im Bereich der Technologiefolgenabschaetzung geaeussert. Hierfuer scheint es keinen einzigen Pfennig zu geben. Dabei sollte (und laut BSIG ist es das auch) gerade dies eine Aufgabe des BSI sein. Es soll bei Gesetzen beratend taetig werden und muss auf die moeglichen Risiken des Einsatzes der IT aufmerksam machen. Dieser erst nachtraeglich aufgenommene Punkt im Artikel 2, Abs. 7 BSIG sollte weit aus mehr in Personal und finanziellen Mitteln berueck- sichtigt werden. Nun folgen noch einige Randbemerkungen ueber das BSI, die doch den ersten Eindruck weiter verstaerken. Was ist mit den 40 Ex-DDRlern ? ------------------------------- Schon in der Chalisti 14 erwaehnten wir einen anderen Punkt im Bezug auf das BSI. Naemlich die Ausweisung von 40 Mitarbeitern des ehemaligen zentralen Chiffrierorgan (ZCO) der DDR. Diese wurden - anders als viele andere aus dem ehemaligen Ministerum des Innern der DDR - nicht zum 31.12.1990 gekuendigt, sondern wurden erstmal uebernommen und dem BSI zugeteilt. Ihr Arbeitsverhaeltnis sollte auf Grund einer Kabinettsentscheidung, dass keine MdI-Mitarbeiter in Bundesbehoerden uebernommen werden sollen, am 31.3.1991 erloeschen. Auf Anfrage der Bundestagsabgeordneten Frau Ingrid Koeppe von B90/Gruene aus Sachsen-Anhalt nach Verbleib dieser 30 Mitarbeiter wurde ihr mitgeteilt, dass im BSI nie Mitarbeiter des ZCO beschaeftigt wurden und werden. Die damals ausgewiesenen Mitarbeiter hatte die Aufgabe des ZCO aufzuloesen. Warum nun allerdings gerade SekretaerInnen und Kryptgraphen (die stellen die Mehrheit dieser 40 Leute) besonders geeignet sind das ZCO aufzuloesen ist ebenfalls unklar. Was aus diesen Mitarbeitern geworden ist, wird nicht deutlich. Big BSI ist watching you ? -------------------------- Das BSI nimmt natuerlich auch an Forschungs- und privaten Netzen teil. Dabei wird es von den wenigstens wahrgenommen, dabei werden im BSI explizit auch die Newsgruppen (Bretter) gelesen. Dabei werden das BSI betreffende Beitraege auch genommen, gedruckt und an die betreffenden Stellen In-House verteilt. Dabei ist unklar, in wie weit Beitraege raus- gefischt werden, die das BSI direkt oder nur in seiner Arbeit betreffen. Ebenfalls unklar ist, wie diese Beitraege erfasst und archiviert werden, und vielleicht eines Tages dem Autor zum Nachteil gereichen. Dabei ist besonders zu bedenken, dass Schreiber von Beitraegen in den Netzen nicht durch das Presserecht geschuetzt werden. Ob hier einfach Gedankenlosigkeit oder nur die Nutzung und Freundlichkeit Einzeler gegenueber Mitarbeiter im BSI herauskristalisiert, kann nicht gesagt werden. Um aber das richtige Verhaeltnis dazustellen sollte deutlich folgenes gesagt werden: Es sieht nicht danach aus, als wuerden Nachrichten systematisch und regelmaessig gelesen und weiterverteilt oder gar weiterverarbeitet. Es sprechen fehlendes Personal beim BSI sowie Aeusserungen einzelner BSI'ler dagegen. Aber das Gefuehl, dass ein Bundesamt wie das BSI mitliesst, wird sicher bei einzelnen dazu fuehren, dass sie ihr Netzgeflogenheiten aendern. Wer schweigend am Netz teilnimmt, ein Bundesamt mit einem gewissen Prozent- satz von ehemaligen Mitarbeitern von BKA, BND, BfV und BGS ist, sollte sich nicht im geheimen, sondern oeffentlich im Netz darstellen. Wie in der BSI-Dokumentation geschrieben, ist das BSI auf Vertrauen angewissen. Dieses muss geschaffen werden. Leugnen der Vergangenheit gilt da recht wenig ... Das BSI raet ------------ Nach Vorbild der amerikanischen Computer Emergency Response Teams, sollen in Deutschland und Europa Anlaufstellen fuer Sicherheitsprobleme eingerichtet werden. Ein Ziel solcher Anlaufstellen in den USA ist es, dass eventuelle Angriffe und Sicherheitsloecher schnell an die betroffenen und verantwortlichen Stellen weitergeleitet werden koennen. In den USA wird das CERT von einer Gruppe Leute betrieben, die mit moeglichst wenig Formalien auskommen, allerdings ein Zugriffsverfahren unterhalten, welches regelt wer welche Informationen bekommen kann. Das BSI ist natuerlich auch in den Verteilern der amerikanischen CERT's und zwar mit der hoechsten Prioritaet. In Deutschland ist noch unklar, welche rechtliche Grundlagen und welche Struktur das CERT in Deutschland schlussendlich besitzen soll. Diese Fragen werden im BSI gerade angegangen und sollen bis Ende des Jahres geklaert sein. Gewuenscht wird, dass dezentral Ansprechpartner als CERT vorhanden sind und dort in den verschiedenen Problembereichen helfen koennen. Allerdings gibt es fuer denn spezielle Problematik " Viren" schon zwei Anlaufstelle: Das Viren-Text Center in Hamburg von Prof. Brunnstein und das Mikrobitcenter der Uni Karlsruhe. Auf weitere muessen wohl noch gewartet werden. Im Augenblick existiert aber schon KITS. Dies steht fuer Kommunikations- plan IT-Sicherheit und soll auf Behoerdenebene die zuegige Verteilung von Information bezuegl. Angriffe und Sicherheitsproblemen gewaehrleisten. Falls ein solcher Fall eintritt, dann gehen die Informationen an eine Stelle im Bundeskriminalamtes. Das BKA informiert dann das Bundesinnen-, das Bundes- verteidigungs- und das Bundeswirtschaftsministerium, die obersten Bundees- behoerden, denn Bundestag, den Bundesrat, die Bundesbank, das Bumdesamt fuer Verfassungsschutz, den Bundesbeauftragten fuer den Datenschutz, das Bundesverfassungsgericht, den Bundesrechnungshof, natuerlich das BSI, das Bundesverwaltungsamt, sowie die Landeskriminalaemter. Bei Bedarf werden auch die Landesaemter fuer den Verfassungsschutz sowie die IT-Hersteller benachrichtigt. Letzteres geschieht ueber ausgewaehlte Verbaende, die entsprechend angeschrieben wurden. Quo vadis BSI ------------- In und um dem BSI geht es weiter neblig zu. Die Befuerchtung, dass das BSI zu einem deutschen NIST bzw. NCSA oder gar NSA werden koennte, sind auch auf Grund des heutigen Kenntnisstandes nicht auszuschliessen. Natuerlich sind auch optimistische Toene aus dem BSI zu vernehmen. So ist geplant, dass ueber Mailarchive, und Textserver wichtige Informationen verfuegbar gemacht werden soll. Ausserdem wird das BSI, sobald seine Verbindungen ins EUnet stabil funktionieren, auch entsprechende Informationen ueber diesen Weg verbreiten. Im Augenblick haelt mensch sich damit noch bedeckt. Verwirrende Postings mit dem Absender zsi.uucp, verlorengegangene Mails an diese Adresse, nicht beantwortete Mails an bsi.de haengen alle damit zusammen, dass die Netzwerkverbindungen beim BSI erst sicher gestaltet werden sollen. Wie sagte jemand noch aus dem BSI ? "Was koennte sich ein Hacker schoeneres vorstellen, als ins BSI reinzukommen". Auf jeden Fall denkt das BSI wohl an mehr Transparenz als im Augenblick realisiert scheint. Nachtrag: Workshop in Boppard ----------------------------- Zum BSI-Workshop in Boppard (Chalisti 14) ist noch zu sagen, dass das Buch 'Boppart-Impuls' wohl nicht erscheinen wird. Dieses Buch sollte die Meinungen und Beitraege zum Thema BSI/Technologiefolgenabschaetzung buendeln und veroeffentlich werden. Dies waere dann auch dem Buerger, der Wissenschaft und nicht nur den Referenten und Verwaltungen zugaenglich gemacht worden. Das dies Buch nicht erscheint, liegt aber nicht am BSI, sondern an den Referenten. Von denn sicher ueber 10 Referenten haben erst 4 ihren Beitrag abgegeben. Daher wird zusammen mit einem Vorwort die Beitraege und evntl. einem Pressespiegel rechtzeitig zu Boppard II (so es denn kommen soll im Rahmen von IT 2000) den neuen und alten Teilnehmern zugeleitet werden. Damit bleibt die Gruppe, die sich um diesen Bereich bemueht, weiter unter sich. Die also engagierten Teilnehmer sollten sich auch mal um ihre Verantwortung Gedanken machen. Zusammen mit einem Freund an der Uni Oldenburg, der selbst nicht Mitglied im CCC ist, diesen aber in einigen Punkten nahesteht und sich selbst intensiv mit BSI und besonders IT-Sicherheitskriterien beschaeftigt hat, haben wir einen Beitrag fuer diesen Boppard-Impuls ausgearbeitet. Insbesondere Teil I gibt weitgehend das wieder, was ich in der Podiums- diskussion gesagt habe. Teil II dient als Ergaenzung zu jenem Teil, welches aus Zeitgruenden in Boppard nicht mehr vorgetragen wurde. Dieser Beitrag wird ebenfalls in dieser Chalisti 15 als Dokumentation veroeffentlicht. Abschliessend noch die derzeitige Adresse des BSI, weil wir mehrfach danach gefragt wurden: BSI , Postfach 200363 , 5300 Bonn 2 Haus I , Mainzer Str. 88 , 5300 Bonn 2, Tel. (0228) 346599 Haus II , Mainzer Str. 86 , 5300 Bonn 2, Tel. (0228) 345499 Haus III, Am Nippenkreuz 19, 5300 Bonn 2, Tel. (0228) 85510 Anfragen der Presse bitte an Dr. Dickopf in Haus III. Autor: Terra (Frank Simon). ------------------------------------------------------------------------------

[Contrib] [Chalisti] [15] BSI: Doch ein Schrecken ?