Hagbard Celine ...
geb. 22.7.68 ges. 23.5.89
... der größte Hacker aller Zeiten wurde verheizt!
Sein Judas legt immer noch kaltblütig Tanzmusik bei NDR 2 auf.
Verbunden
Freundeskreis Karl Koch (FKK)
|
Anzeige in der taz Hamburg Donnerstag 23.6.91 16x28 cm
BSI
Geheimdienst oder Notwendigkeit?
"Die glücklichen Sklaven sind die erbittersten Feinde der Freiheit"
(Marie v. Ebner-Eschenbach, Ausspruch eines Teilnehmers auf dem BSI-Workshop)
In nur einer halben Stunde Diskussion wurde am 24. Oktober 1990 im Deutschen Bundestag ein Gesetz beschlossen,
dessen Reichweite heute noch nicht zu überblicken ist. Nicht nur hat der Gesetzgeber dort ein neues Amt mit
über 200 Mitarbeitern geschaffen, sondern definierte auch den Begriff der Sicherheit in der
Informationstechnik-(IT) im Hinblick auf Wirtschaft und Gesellschaft. Es kann bekanntlich davon ausgegangen
werden, daß die Produktionsgesellschaft sich endgültig in eine Informationsgesellschaft wandelt und
sich damit direkt und ursächlich in Abhängigkeit von der verwendeten Technik, insbesondere der
Informationstechnik begibt. Einem Bundesmt für Sicherheit in der Informationstechnik (BSI) kommt damit
automatisch eine zentrale Rolle in der zukünftigen Entwicklung zu.
Die Vorgeschichte
Wenn nun an dieser Stelle von einem neuen Bundesamt gesprochen wird, so ist erstmal zu erwähnen, daß
zwar der Status Bundesamt neu ist, allerdings die Behörde am sich schon älter ist: Mitte
der fünfziger Jahre wurde schon die Zentralstelle für das Chiffrierwesen (ZfCh) gegründet und
dem Bundesnachrichtendienst (BND) zugeordnet. Die Existenz des ZfCh war lange zeit unbekannt, da davon nur unter
der Rubrik "vertraulich" neben der Regierung der Innenausschuß des Bundestages informiert war. Das ZfCh
befaßte sich insbesondere mit kryptographischen Verfahren zur Verschlüsselung von Nachrichten und
Verfahren zum "brechen" von verschlüsselten Nachrichten, sowie Koordination und Standardisierung solcher
Verfahren im Rahmen der NATO.
Am 1.6.1989 machte das ZfCh seine erste Wandlung durch und wurde in Zentralstelle für die Sicherheit in der
Informationetechnik (ZSI) umbenannt. Damit anheim ging eine Erweiterung der Aufgaben auf den Bereich Sicherheit
in der IT. Dies war die direkte Folge - des weit überschätzten - Eindringens in Systeme der NASA,
sowie des sogenannten KGB-Hacks.
Mit Wirkung vom 1.1.1991 hat nun das ZSI erneut seinen Namen geändert und heißt nun BSI.
Gleichzeitig wurde das BSI der organisatorischen Anbindung an den BND entlassen und nun direkt dem
Bundesministerium des Innern (BMI) zugeordnet. Damit ließ das neue Bundesamt aber seine Entwicklung nicht
am Nagel der Geschichte hängen. Die Aufgaben des Bundesamtes waren deutlich über den geheimdienstlichen
Bereich erweitert worden, so z.B. die Beratung der Wirtschaft und der Bundes- bzw. Landesbehörden in Fragen
der Sicherheit, der Unterstützung der Datenschutzberater, etc. Allerdings wurde das BSI der Abteilung
Innere Sicherheit 4, zuständig für Geheim- und Sabotageschutz, als nationale Sicherheitsbehörde
zugeordnet. Leiter des BSI ist und bleibt Dr. Leiberich, der davor schon das ZSI und davor seit 1957 im ZfCh
tätig war und seit 1974 deren Leiter war.
In dem Gesetzgebungsverfahren ist dem BSI noch die Aufgabe der Technologiefolgenabschätzung (TFA) in Par. 3,
Absatz 1, Punkt 7 mit auf den Weg gegeben worden und der Bundesinnenminister machte dies in seiner Rede, vor dem
Bundestag noch mal deutlich. Allerdings hat die organisatorische Anbindung ans BMI schon im Vorfeld dem BSI
Möglichkeit genommen, erstmal ohne Mißtrauen betrachtet zu werden. Die Diskussion über die
nationale Sicherheitsbehörde der USA, der National Security Agency (NSA) war noch nicht vergessen und die
Befürchtung, daß endgültig ein neuer Geheimdienst im Bereich der IT geschaffen wird, wurde
immer haufiger laut.
Das BSI lädt ein...
Ende April trafen sich Experten aus dem Gebiet der Wissenschaft, Wirtschaft und der Behörden zu einem
Workshop in Boppard. Das BSI hatte unter der Überschrift "IT-Sicherheit: mögliche Folgen fehlender
oder unzureichender Sicherheitsvorkehrungen" an den idyllischen Ort am Rhein in die Bundesakademie für
Öffentliche Verwaltung in der Nähe von Bonn geladen. Die Liste der geladenen Teilnehmer las sich
wie ein "Who is Who" der in IT-Sicherheit engagierten. Teilnehmer aus den diversen Universitäten, dem
Virus-Tent-Labor Hamburg, Firmen wie Debis, Siemens und IABG, Landesdatenschutzbeauftragte aus Berlin und NRW,
Projektträger, Ministerialräte aus den diversen Ministerien, sowie gesellschaftliche Gruppen wie DGB,
Gesellschaft für Informatik (GI) oder Chaos Computer Club waren vertreten.
Die zentralen Aussagen auf diesem Workshop sollen hier dargestellt werden.
In der Begrüßung würdigte der BSI-Präsident Dr. Leiberich das Erscheinen von ca. 50
Teilnehmern und lobte den Initiator der Veranstaltung, Dr. Ulrich, für sein Engagement.
Dr. Ulrich hat sich in der Fachwelt schon einen Namen durch seine Publikationen im Bereich der TFA und der
Restrisiken in der Informationssicherheit gemacht und arbeitete nun seit kurzen im BSI. Schon die
Begrüßung wurde von einigen Teilnehmern als Distanzierung zu Dr. Ulrich und der Veranstaltung
aufgefaßt, und auch im weiteren Verlauf der Veranstaltung kam, der unbefangene Teilnehmer nicht umhin
zu vermuten, daß der Bereich TFA, im Bundesamt durch Dr. Ulrich vertreten, ein Novizendasein führt.
Als erster Referent ergriff Prof. Roßnagel von der FH Darmstadt das Wort. Er legte dar daß die
bisherigen Bemühungen um IT-Sicherheit zu technikzentriert sei und die gesellschaftliche Einbettung des
Sicherheitsproblems nur unzureichend berücksichtigen. Informations- und Kommunikationssysteme seien Systeme
mit Auswirkungen auf die Gesellschaft und seien daher als soziotechnisches System aufzufassen. Wie die meisten
Teilnehmer war auch er der Meinung daß die Verletzlichkeit der Gesellschaft nicht nur durch technische
Massnahmen zur Verhinderung von Fehlern und Mißbrauchen veringert werden muß, sondern daß
auch die Abhängigkeit der Gesellschaft von Informations- und Kommunikationstechnik und das dadurch
bestehende Schadens- und Katastrophenpotential beeinflußt werden muss.
Es gehört eben nicht nur zur IT-Sicherheit, die möglichen Fehler eines Systems zu betrachten, sondern
auch im Verhältnis das Risiko, das allein durch den Rechnereinsatz entsteht.
Als Beispiel wurde ein einfacher Lesefehler einer Festplatte bei der Pariser Justiz angeführt, der dazu
führte, daß aus mehreren Bescheiden wegen Verkehrssünden plötzlich Delikte wegen
Drogenmißbrauch und Prostitution wurden.
Diesen eher harmlosen Folgen stehen aber auch katastrophale Fehler im Rechnereinsatz entgegen, wie ein
Softwarefehler in einem Programm zur Steuerung einer Bestrahlungsapparatur in einem Krankenhaus. Weil
ein bestimmter Zustand vom Programmierer nicht vorgesehen waren, wurden 2 Patienten mit erhöhter Strahlung
behandelt, was zum Tode der Betroffenen führte.
Ebenso machte Prof. Rofinagel darauf aufmerksam, daß ein Fehler in Rechensystemen weitaus stärkere
Folgen hätte als gemeinhin angenommen. Durch die Verkettung der Gesellschaft würde der Ausfall von
zentralen Rechnern in einigen Großstädten sich im gesamten Sytemen fortpflanzen und eine Gefahr
für die Gesamtheit darstellen. Ein "Chaosmanagement" wäre aber dann, auch nicht mehr möglich,
weil die gesamte dafür notwendige Infrastruktur ebenfalls ausgefallen wäre. Eine schreckliche
Vorstellung für jedem im Katastrophenschutz.
Das BSI hat - ähnlich wie ihre Vorgänger in anderen Staaten - den Weg der technokratischen Sicherheit
gewählt und sich damit auf einen Wettlauf zwischen steigender Verletzlichkeit und Sicherungstechnik
eingelassen, die letztere kaum gewinnen kann.
Prof. Brunnstein vom Virentestlabor in Hamburg führte in seinem Beitrag ebenfalls aus, daß er beim
BSI eine Fehlentwicklung sieht, weil sich das BSI allein auf technische Massnahmen konzentriert. Da es aber keine
sicheren Systeme geben kann, müssen technisch und sozial beherrschbare Systeme gefordert werden. Unter
beherrschbaren Systemen müssen aber Systeme verstanden werden, die von Menschen noch erfaßt und damit
kontrolliert werden können.
Da aber die gesammte heutige Computertechnik auf den Ideen John von Neumanns aufbaut, ist die faktisch
unmöglich. Von Neumann hatte den Rechner mit seinem Bus, Speicher, CPU, etc. mit dem Aufbau des menschlichen
Gehirns verglichen und ging dadurch von einer möglichen Transparenz zwischen Mensch und Maschine aus.
Heute wissen wir, daß diese Ähnlichkeit nicht besteht, also der Rechner, an sich dem Menschen immer
fremd bleiben muß.
Dr. Büllesbach von der Daimler Benz Informationssysteme (debis) und früerer Datenschutzbeauftragter
Bremens ging das Sicherheitsproblem von der Entwicklungsseite an. Er kritisierte das nachträgliche
Aufspüren von Sicherheitslücken mit Hilfe von TigerTeams, also professionellen, angestellten Hackern,
und legte dar, daß bei der Entwicklung von Software in Zusammenarbeit mit den Betroffenen (Betreiber,
Benutzer, Anwender) die Basis für "Security Management" gelegt werden muss. Gleichzeitig muss über
Sicherheitsprobleme öffentlich diskutiert werden, denn diese Transparenz ist die Basis für den
Fortschritt. Zwar stehen dem Sicherheitsbedenken der Hersteller oder Abwender entgegen, aber in der Regel sei
Verheimlichung kein Sicherheitsgewinn.
Eine ganze andere - eher pragmatische - Sichtweise wurde von Dr. Bunge, Ministerialrat beim Bundesrechnungshof,
vorgestellt. Der BRH stellt häufig Sicherheitsmängel fest, die allerdings nicht bekannt werden.
Dadurch werden aber ähnliche Mängel in anderen öffentlichen Einrichtungen nicht beseitigt. Daher
ist der Rechnungshof dazu übergegangen, solche Mängel anonym zu veröffentlichen.
Dabei werden diese aber abstrakt dargestellt, um Nachahmungstäter zu vermeiden. Die Details gelten als
vertraulich. Sicherheit ist für den BRH ein wichtiger Punkt, da er über den angemessenen und
wirtschaftlichen Einsatz staatlicher Gelder wacht. Auf der einen Seite kostet Sicherheit aber Geld, ein evtl.
Schaden kann auch große finanzielle Aufwendungen nachsichziehen. Inzwischen must daher bei Antrag auf den
Einsatz von Rechnern ein Nachweis über Angemessenheit und eine [??? d.S.] eingereicht werden.
Der BRH beschäftigt sich darüberhinaus nicht nur mit der punktuellen Sicherheit einzelner Systeme,
sondern auch im Gesamtkonzept Mensch-Organisation-Technik. Beispielsweise findet im Augenblick eine Diskussion
über den Einsatz von Unix im Hinblick auf Sicherheit, Wirtschaftlichkeit und Risiko statt.
Am 2. Tag der Veranstaltung erläuterten Dr. Pfitzmann von der Uni Karlsruhe und Prof. von Henke von der Uni
Ulm die Anforderungen an IT-Systeme bezüglich Funktionalität und Korrektheit. Dabei wurde
erläutert, daß in der Regel Fehler in der Software und seltener in der Hardware liegen.
Kleine Fehler in FORTRAN-Programmen können Raumsonden um Hunderttausende von KM ihr Ziel verfehlen lassen
(und Cruise Missiles um paar Meter).
Ein Lösungansatz wurde z.B. beim Airbus 320 verwendet: zwei vollkommen eingenständig entwickelte
Systeme, die ihre Ergebnisse vergleichen. Solange ihre Ergebnisse übereinstimmen, kann davon ausgegangen
werden, daß das Ergebnis richtig ist. Bei Nichtübereinstimmung können entsprechende
Maßnahmen eingeleitet werden. Allerdings hat das System auch seine schlechten Seiten, wie der Absturz bei
einer Airbus-Vorführung in Paris gezeigt hat.
Als abschliessendes Referat bracht Herr Lau von der Uni Rostock noch einen Einblick in die Situation in der
ehemaligen DDR. Eine Abteilung Datensicherheit war der Abt. Geheimnisschutz des Ministerrates in der DDR
unterstellt. Datenschutz an sich gab es in der DDR nicht. Datensicherheit selbst wurde aber auch an den
Universitäten gelehrt. Für Informatiker waren da 30 Semesterwochenstunden Pflicht. Ob das so
bleiben wird, ist unklar. Geplant ist demnächst ein Workshop von der Uni Rostock und der Uni Bremen zur
Rechtsangleichung des Datenschutzes.
Was nun, BSI ?
Wo sieht das Bundesamt aber seine zukünftige Aufgabe? Die Teilnehmer waren einer Meinung, daß die
Arbeit des BSI auf Grundlage des Errichtungsgesetzes geschehen müsse, aber dieses genug Freiräume
zum Setzen von Schwerpunkten und Prioritäten lassen würde.
Dabei wurden denn Punkten Öffentlichkeitsarbeit, Kooperation mit der Wissenschaft, Unterstützung
der Datenschutzbeauftragten und der Technologiefolgenabschätzung hohe Stellenwerte eingeräumt. Es
kam der Wunsch auf, daß die Technologiefolgenabschätzung eine eigene Abteilung im BSI werden
würde und nicht stiefmütterlich am Rande zum Vorzeigen verwendet werden würde.
Die parlamentarischen und ausserparlamentarischen Kontrollmechanismen werden einen besonderen Augenmerk auf die
TFA werfen, die ja erst im letzten Augenblick in das Gesetz aufgenommen wurde.
Die Teilnehmer der abschliessenden Podiumsdiskussion sprachen sich durchweg für die Verbindung zwischen
Technik und Gesellschaftlicher Verantwortung aus. Sicherheit darf nicht nach dem olympischen Prinzip
(höher, weiter, schneller), so Prof. Dierstein, betrachtet werden, sondern auch nach TFA und
Verfassungskonformität. Auch wurde die Zusammenarbeit zwischen Juristen, Techniker, BSI und Betroffenen
angemahnt sowie regelmässige Treffen zum Bereich der TFA vorgeschlagen.
Die Abschlußrede blieb Dr, Leiberich vorenthalten. Er bedankte sich bei den Teilnehmern und lobte die
Diskussion. Dann erläuterte wo er die Schwerpunkte des BSI sehen würde, nämlich im Bereich der
Verhinderung des Abhöhrens kommerzieller und staatlicher Links. Diesee Gefahr erläuterte er recht
ausführlich.
Das in nächster Zeit wirklich nicht mit einer Änderung der Einstellung zu rechnen ist, zeigt die 2.
Deutsche Konferenz über Computersicherheit, die Mitte Juni vom BSI und BIFOA veranstaltet wird.
Von über 30 Vorträgen beschäftigt sich keiner mit TFA. Dafür gibt es aber eine
Podiumsdiskussion über "Techno-Terrorismus" und Kongressgebühren von über 1000 DM. Ob damit der
Gesellschaft geholfen ist? Und in wie weit es sinnvoll ist, daß die von der ehemaligen ZSI entwickelten
Sicherheitskriterien für Software kein Wert der TFA enthält und die Überprüfung von
Software nach diesen Kriterien - neben drei TÜV-Anstalten - auch von der IABG in München vorgenommen
werden, also einer Firma die zu grossen Teilen, dem Bund gehört und bis jetzt stark für die
Geheimdienste und dem Verteidigungsministerium gearbeitet hat, spricht ebenfalls nicht dafür, daß das
BSI ernsthaft um eine Trennung von seiner Vergangenheit bemüt ist.
Terra
|