![[Chaos CD]](../../images/chaoscd.jpg) |
| ![[Gescannte Version]](../../images/scan.jpg) |
![[ -- ]](../../images/prev.jpg) |
![[ ++ ]](../../images/next.jpg) |
![[Suchen]](../../images/search.jpg) |
|
| |
|
|
|
BSI: Doch ein Schrecken ?
Interessant für uns sind aber weniger die neuen Gebäude, als eher die Arbeit des Bundesamtes. Wie in der Chalisti 14geschrieben, ist das BSI mit seinem Arbeitsbereich für den CCC ein Augenmerk wert. Die Frage, ob - und besonders wie - es seine Aufgaben wahrnimmt ist nicht nur für uns, sondern für die Gesellschaft im allgemeinen von besonderer Wichtigkeit. Wenigstens sollte es so sein, aber das Amt kann im Stillen seinem Aufbau nachgehen und bekommt von vielen Seiten - auch Journalisten - eine Schonfrist zugestanden. Wir halten im Hinblick auf die zukünftige Entwicklung der Gesellschaft zur Informationsgesellschaft die Arbeit des Bundesamtes für zu wichtig, um es jetzt einer zu langen Schonung zu gewähren. 100 Tage sind lange vor bei, also machen wir uns.Gedanken über das BSI ...
Am Anfang sehen wir unsere Aufgabe darin weitere Informationen über das BSI zu
geben, so wie es uns bekannt und belegbar sind. Die wichtigsten Informationen über
eine zentrale staatliche Stelle sind Personen, Struktur und Finanzen. Also beschäftigen wir uns erstmal mit diesen Punkten. Dabei wollen wir versuchen besonders Zusammenhämge und Hintergrundwissen zu vermitteln. Wir tragen dabei u.a. auch Material zusammen, welches schon im Spiegel oder anderen Publikationen veröffentlicht wurde
An der Spitze des BSI steht als Präsident Dr. Otto Leiberich. Knapp über 60 Jahre alt, 1946 Abitur, 1947 Mathematik an der Uni Köln studiert, 1953 Promotion mit einem Thema aus der höheren Algebra, danach wissenschaftliche Tätigkeit, dann Dienst in der Zentralstelle für Chiffrierwesen (ZfCh) und dem späteren ZSI. Davon zwischen 1962 und 1974 Chefmathematiker und seit 1974 Leiter des ZSI und eben heute Präsident des BSI. Als Vizepräsident steht ihm Dr. Mertz beiseite.
Diesen beiden Personen sind die 6 Abteilungen des BSI unterstellt. Desweiteren sind diese Abteilungen in mehrere Referate unterteilt. Wir stellen sie hier dar, wie der Stand am 25. März 1991 war. Die Quelle sind die Informationen über "Struktur, Ausstattung und Planungen des BSI vom 5.4.1991". Soweit wir hier feststellen konnten, hat sich weder an der Struktur noch an den Personen wesentliches verändert. Insbesondere sind die hier als N.N. angegebenen Posten bis heute noch nicht besetzt worden.
Abteilung I
"Wissenschaftliche Grundlagen und Zertifizierung", N.N. Zu dieser Abteilung gehört unter anderem auch die Technologiefolgenabschätzung unter IT-Sicherheitsaspekten', wobei diese im Augenblick eher von Abteilung zu Abteilung geschoben wird. Es fühlt sich de facto keiner zuständig. (Kollege kommt gleich ... , der gast) Die Hoffnung auf eine eigene Abteilung dieses komplexen Themas und Forschunggebietes kann schon jetzt so gut wie aufgegeben werden. Geplante Unterteilung:
Abteilung III
Dieser Abteilung obliegt im Rahmen des Par. 3, Abs. 1., Nr. 6 BSIG bei Bedarf auch der Entzifferung von Straftätern entwickelter Verfahren zur Verschlüsselung, z.B. aus der Rauschgiftszene.
"Technische Sicherheit", VA Schwirkmann, -569
"Sicherheit in Rechnersystemen LRD Everts, -232 Aus dieser Abteilung kommen die bekannten r-Sicherheitskriterien, sowie die gerade in Vorbereitung befindliche IT-Sicherheitshandbuch, welches im Herbst erscheinen soll. Der von Dr. Leiberich geäusserte Wunsch, daß sich das BSI vordringlich mit Verschlüsselung und Lauschabwehr - gerade auch im Hinblick auf neue Gefahren von innen und außen - schlägt sich hier deutlich nieder.
"Beratung und Unterstützung", N.N. Die Planstellen in dieser Abteilung können frühestens 1A92 beantragt werden. Allein die Beratungseinheit für den materiellen Geheimschutz existiert, weil diese vom Verfassungeschutz übernommen wurden.
Für das Jahr 1991 verfügt das BSI über 278 Planstellen/Stellen. Davon wurden 153 vom BND, 41 von BfV und 24 vom BGS übernommen, sowie 60 neu geschaffen. In den nächsten Jahren soll für 1992 50, für 1993 10 und für 1994 15 weitere Planstellen/Stellen geschaffen werden. Innerhalb der Abteilungen besteht folgenes Verhältnis der Planstellen/Stellen:
Abteilung I 61 Zum Teil wird das Personal übergangsweine in seinen ursprünglichen Dienststellen beim BfV und beim BGS Unterkommen. Den Stellenwert der einzelnen Abteilungen kann jeder Anhand der Personalzahlen und im Verhältnis zu den Aufgaben gemäss BSIG (siehe Chalisti 14) selbst ablesen. Aber auch die Finanzen können über das BSI eine Menge aussagen. Besonders zu kritisieren ist der Punkt "Beratung". Die Abteilung IV wird nur langsam erweitert und erreicht als einzige Abteilung ihre Ausbaustufe erst 1994.
Dem BSI stehen im Haushalt 57,1 Millionen DM zur Verfügung. Davon 22,6 Millionen DM für Forschung. In diesen 22,6 MiIlionen sind insgesamt 15 Millionen für die ehemalige BND-Unterabteilung, ZSI "Chiffrierverfahren und Meßverfahren fuer kompromittiere nde Abtrahlung" vorgesehen. Dazu hät der am 10.4.1991 für die Sitzung des Innenauschuß des Bundestages am 17.4. festgestellt: "Das BST hat keine Förschungsarbeiteit durchzuführen. Diese ursprünglich im BSI Errichtungsgesetz aufgenommene Aufgabe wurde bei - den Resseortberatungen ausdrüklich gestrichen um eine praxisbezogene Arbeitsweise des Bundesamtes sicherzustellen.". Es werden, also Gelder nicht gesetzgemäß eingesetzt.
Laut Auskunft eines Mitarbeiters des BSI soll aber der Bundesrechnungehof (BRE) dies inzwischen teilweise zurückgenommen haben. Allerdings konnten wir in keiner unserer Unterlagen - bis hin zum Antrag auf eine entsprechende Gesetzesänderung, die diese Haushaltemittel betreffen - für diese Aussage einen Beleg finden. Aber nicht nur die Tatsache ist interessant. Auch für was dieses Geld im Bereich der Forschung ausgegeben wird. Schon bestehende Verträge über Entwicklungen beim BSI regen zum Denken an:
Diese sind exemplarisch für Gegenstände im Haushaltsplan die auf Grund ihrer Techniken zentral fuer Geheimdienste oder das Militär interessant sind. Dem gegenüber stehen aber auch Mittel für Aufgaben, die eher für die Wirtschaft und Gesellschaft wichtig sein könnten: Bedenklich sind dann aber schon wieder angegebene Sachmittel für die Evaluierung des Betriebssysteme von Siemens BS 2000 (450.000 DM) und Sinix (40.000). Hier ist klar die Frage zu stellen, warum die Betriebssysteme von Siemens auf Kosten des Steuerzahlers evaluiert werden. Bei einer Einstufung des Systemes in die IT- Sicherheitskriterien entstehen der Firma klare Wettbewerbsvorteile gegenüber anderen Mitbewerbern und ein solcher Eingriff in den Markt ist sicher nicht zulässig. Natürlich könnte angeführt werden, daß diese Betriebssysteme in der öffentlichen Verwaltung eingesetzt werden und daher die Einstufung für den Bund interessant ist. Für den Fall ist natü rlich zu fragen, ob die entstehenden Kosten der Evaluation bei Entscheidungen über neue Anschaffungen berüdwichtigt werden und ob solche Firmen wie Siemens die Ergebnisse der Evaluation erfahren und damit dann auch wieder.Werbung machen könnten. Dabei existiert klar die Aussage aus dem BSI, daß die Zertifizierung vom Antragssteller zu bezahlen und dafür gibt es auch einen entsprechende Gebührentabelle. Auf Anfrage wurde uns mitgeteilt, daß die im Haushaltsplan keine Evaluationskosten, sondern Forschungsmittel darstellen. Warum steht da aber explizit Evaluation des Betriebasystemes BS2000 ??? Eine andere Auskunft lautete, daß diese Evaluationen noch aus der Zeit des ZSI seien. Auf der einen Seite meint das BSI, daß es nicht fair wäre immer am ihre Vergangenheit zu erinnen, da sie ja etwas neues seien. Auf der anderen Seite werden größere Summen für Aufgaben aus dieser Vergangenheit bereitgestellt. Schizophren? Auf jeden Fall ist im Vergleich zu der Gesamtaufwendung, ist der Bereich der potentiell wirklich "tragen könnte bestimmte Risiken für die Gesellschaft zu vermindern recht lächerlich und wohl eher mit anderer Intention in den Plan genommen worden. Dabei ist dies auch eine Aufgabe des BSI. Natürlich sind nicht nur die laufenden Verträge - die zum Teil noch aus ZSI-Zeiten sind - interessant, weil sie wenig über die aktuelle Arbeit. des BSI aussagen. Daher, sind die demnächst vorgesehenen Vergaben noch weit aus interessanter. Geplant sind:
Erkenntnisse aus unseren Prüfungen auf dem Gebiet der Sicherheit der Informationstechnik zeigen, daß die festgestellten, schwerwiegenden Mängel nicht aus fehlenden Chiffrierverfahren und -geräten resultieren, sondern wesentlich im fehlerhaften Einsatz und der mangelnden Kontrolle der IT begründet sind. U.E. sollte die Errichtung des BSI nicht als FortfÜhrung der Arbeiten der ehemaligen BND-Unterabteilung ZSI mit zusätzlichen Aufgaben in einem anderen Geschäftsbereich verstanden werden; die Aufgabenschwerpunkte sollten sich vielmehr im gesetzlich festgelegten Rahmen am vordringlichen Bedarf der gesamten Bundesverwaltung orientieren."
Als CCCler bin ich zusätzlich der Meinung, daß genau diese Fortführung der ZSI im BSI vielfach befürchtet wurde und nun anscheinend auch eintreten. Die Warnungen an Öffentlichkeit und Politik sind Jahre alt und wurden kaum gehört. Egal ob diese von bekannten Professoren oder verschiedenen gesellschaftlichen Gruppen vorgebracht wurden. Es ist erfreulich, daß der Bundesrechnungshof von selbst die Erkenntnis gewonnen hat, daß diese Befürchtungen evtl. doch der Wahrheit entsprechen könnten und von seiner Seite her auch Taten folgen läßt. So hat der BRH im Änderungsantrag vom 21.5.1991 dem Bundestag vorgeschlagen, die Titel die sich auf "Kosten für Forschungs- und Entwicklungsvorhaben" beziehen sowie den damit in Zusammenhang stehenden Erwerb von Geräten, etc zu sperren. Dabei handelt es sich ingesamt um eine Summe von 12,45 Millionen DM. Wie der BRE bin ich auch der Meinung, daß die Beratung gerade dem normal Betroffenen garnicht und die Beratung der Wirtschaft kaum berücksichtigt wurde. Leider hat dar BRH sich garnicht zum Bereich der Forschung im Bereich der Technologiefolgeabschätzung geäußert. Hierfür scheint es keinen einzigen Pfennig zu geben. Dabei sollte (und laut BSIG ist es das auch) gerade dies eine Aufgabe des BSI sein Es soll bei Gesetzen beratend tätig werden und muß auf die möglichen Risiken des Einsatzes der IT aufmerksam machen. Dieser erst nachträglich aufgenommene Punkt im Artikel 2, Abs. 7 BSIG sollte weit aus mehr In Personal und finanziellen Mitteln berücksichtigt werden. Nun folgen noch einige Randbemerkungen über das BSI, die doch den ersten Eindruck verstärken.
Das , BSI nimmt natürlich auch an Forschungs- und privaten Netzen teil Dabei wird an von den wenigstens wahrgenommen, dabei werden im BSI explizit auch die Newsgruppen (Bretter) gelesen. Dabei werden betreffende Beiträge auch genommen, gedruckt und an die betreffenden Stellen In-House verteilt. Dabei ist unklar, inwieweit Beiträge rausgefischt werden, die das BSI direkt oder nur im seiner Arbeit betreffen. Ebenfalls unklar ist, wie diese Beiträge erfaßt und archiviert werden, und vieleicht eines Tages dem Autor zum Nachteil gereichen. Dabei ist besondere zu bedenken, daß Schreiber von Beiträgen in den Netzen nichtdurch das Presserecht geschützt werden. Ob hier einfach Gedankenlosigkeit oder nur die Nutzung und Freundlichkeit Einzeler gegenüber Mitarbeiter im BSI herauskristallisiert, kann nicht gesagt werden. Um aber das richtige Verhältnis dazustellen sollte deutlich folgenes gesagt werden: Es sieht nicht danach aus, als würden Nachrichten systematisch und regelmässigig gelesen und weiterverteilt oder gar weiterverarbeitet. Es sprechen fehlendes Personal beim BSI sowie Äußerungen einzelner BSIler dagegen. Aber das Gefühle, daß ein Bundesamt wie das BSI mitlieset, wird sicher bei einzelnen dazu führen, daß sie ihr Netzgeflogenheiten ändern. Ein Bundesamt mit einem gewissen Prozentsatz von ehemaligen Mitarbeitern von BKA, BND, BiV und BGS ist, sollte sich nicht im geheimen, sondern öffentlich im Netz darstellen. Wie in der BSI Dokumentation geschrieben, ist das BSI auf Vertrauen angewiesen. Dieses muß geschaffen werden. Leugnen der Vergangenheit gilt da recht wenig ...
Nach Vorbild der amerikanischen Computer Emergency Response Teams sollen in Deutschland und Europa Anlaufstellen für Sicherheitsprobleme eingerichtet werden. Ein Ziel solcher Anlaufstellen in den USA ist es, daß eventuelle Angriffe und Sicherheitslöcher schnell an die betroffenen und verantwortlichen Stellen weigeleitet werden können. In den USA, wird das CERT von einer Gruppe Leute betrieben, die mit möglichst wenig Formalien auskommen, allerdings ein Zugriffsverfahren unterhalten, welches regelt wer welche Informationen bekommen kann. Das BSI ist natürlich auch in den Verteilern der amerikanischen CERT's und zwar mit der höchsten Priorität. In Deutschland ist noch unklar, welche rechtlichen Grundlagen und welche Struktur das CERT in Deutschland schlußendlich besitzen soll. Diese Fragen werden im BSI gerade angegangen und sollen bis Ende des Jahres geklärt sein. Gewünscht wird, daß dezentral Ansprechpartner als CERT vorhanden sind und dort in den verschiedenen Problembereichen helfen können. Allerdings gibt es für die spezielle Problematik "Viren" schon zwei Anlaufstellen: Das Viren-Text Center in Hamburg von Prof. Brunnstein und das Mikrobitcenter der Uni Karlsruhe. Auf weitere muß wohl noch gewartet werden. Im Augenblick existiert aber schon KITS. Dies steht für Kommunikationsplan IT Sicherheit und soll auf Behördenebene die zügige Verteilung von Information bezüglich Angriffe und Sicherheiteproblemen gewährleisten. Falls ein solcher Fall eintritt, dann gehen die Informationen an eine Stelle im Bundeskriminalamt. Das BKA informiert dann das Bundesinnen-, den Bundesverteidigungs- und das Bundeswirtschaftsministerium, die obersten Bundesbehörden, den Bundestag, den Bundesrat, die Bundesbank, das Bundesamt für verfassungsschutz, den Bundesbeauftragten für den Datenschutz, das Bundesverfassungsgericht, den Bundesrechnungshof, natürlich das BSI, das Bundesverwaltungsamt, sowie die Landeskriminalämter. Bei Bedarf werden auch die Landesämter für Verfassungsschutz sowie die IT-Hersteller benachrichtigt. Letzteres geschieht über ausgewählte Verbände, die entsprechend angeschrieben werden.
In und um das BSI geht es weiter neblig zu. Die Befürchtung, daß das BSI zu einem deutschen NIST bzw. NCSA oder gar NSA werden könnte, sind auch auf Grund des heutigen Kenntnisstandes nicht auszuschließen. Natürlich sind auch optimistische Töne aus dem BSI zu vernehmen. So ist geplant, daß über Mailarchive undTextserver wichtige Informationen verfügbar gemacht werden soll. Außerdem wird das BSI, sobald seine Verbindungen ins EU-net stabil funktionieren, auch entsprechende Informationen über diesen Weg verbreiten. Im Augenblick hält mensch sich damit noch bedeckt. verwirrende Postings mit dem Absender zip, uucp, verloren gegangene Mails an diese Adresse, nicht beantwortete Mails an bsi.de hängen alle damit zusammen, daß die netzwerkverbindungen beim BSI erst sicher gestaltet werden werden sollen. Wie sagte jemand noch aus dem BSI? "Was könnte sich ein Hacker schöneres vorstellen, als in das BSI reinzukommen". Auf jden Fall denkt das BSI wohl an mehr Transparenz als im Augenblick realisiert scheint. terra (Dieser Artikel ist zwar etwas älter, zeigt aber probleme auf, die nicht nur wir mit dem BSI haben, insofern wünschen wir dem neuen Leiter Dr. henze viel Glück, iund hoffen, daß er auch einige Semester Philosophie studiert hat.
|
[Datenschleuder]
[43]
BSI: Doch ein Schrecken ?