Strategie für ein sicheres Internet
Von Thomas Otto · 23.09.2014
"Wir sollten nicht naiv sein", sagt Neelie Kroes, EU-Kommissarin für die digitale Agenda, und mahnt zu mehr Schutz vor Internetkriminalität. Ein Blick auf die zentralen Bausteine der Sicherheitsstrategie in Europa.
Wir schreiben, sprechen, lassen uns filmen, bestellen alle nur denkbaren Waren, versenden Geld, organisieren unser Leben, teilen unsere intimsten Gedanken...unsere IT weiß fast alles über uns. Und Geheimdienste wissen fast alles über unsere IT.
"Warum sind wir gegenüber solchen Gefahren so schlecht gewappnet? Was die NSA heute kann, können morgen auch andere – oder tun es vielleicht schon. Wir sollten nicht naiv sein."
Forderte Neelie Kroes, EU-Kommissarin für die digitale Agenda, auf einer Konferenz im Februar. Eine Cybersicherheitsstrategie hat sich die EU gegeben – einen Masterplan zur IT-Sicherheit. Edward Snowdens Enthüllungen haben dafür Schützenhilfe geleistet:
"Wir können diese Erkenntnisse nutzen, um eine sicherere Onlinewelt zu schaffen – und einen Wettbewerbsvorteil für die europäische Industrie. Die Europäische Industrie sollte sich dafür auch einsetzen."
Nach den Veröffentlichungen von Snowden hätten US-Clouddienste durch den Vertrauensverlust zehn Milliarden Dollar eingebüßt. Hier habe die Digitale Industrie in der EU einen Wettbewerbsvorteil. Cybersicherheit in erster Linie zum Nutzen der IT-Industrie. Die Strategie sieht unter anderem vor, dass in allen Ländern sogenannte CERTs eingerichtet werden – Expertenteams, die bei konkreten Angriffen und Bedrohungen aktiv werden. Außerdem tauschen sich Industrie und Politik regelmäßig aus und beraten über Handlungsempfehlungen für mehr IT-Sicherheit.
"Es geht um die Betroffenen"
Ein zentraler Baustein der Sicherheitsstrategie ist die Richtlinie zur Netz- und Informationssicherheit. Darin wird unter anderem festgelegt, dass Betreiber kritischer Infrastruktur Angriffe und Sicherheitsprobleme an Behörden melden und diese Informationen austauschen müssen. Darunter fallen auch Finanzdienstleister, soziale Netzwerke und Suchmaschinen. Zwar hat auch die Industrie ein Interesse an sicheren Systemen, ihr geht die Meldepflicht aber zu weit:
"Also zum Beispiel Google ist nicht verfügbar - was ist die Auswirkung? Dann könnte ich als Nutzer jetzt einfach zur Konkurrenz gehen. Das heißt es hätte keine negativen Auswirkungen auf mein tägliches Leben."
Anna-Verena-Naether vom Branchenverband Digital Europe.
"Es ist schon wichtig, dass man es melden muss, wenn ein Emailkonto gehackt wird, klar. Aber das muss jetzt nicht über alle Medien verbreitet werden, weil das nicht zwingend Sinn macht, wenn eine Person, die gar nicht betroffen ist, davon mitbekommt. Dann wären die Zeitungen nur voll von solchen Meldungen."
Eine Diskussion also zwischen EU und IT-Branche um die Definition von kritischer Infrastruktur? Um die europäischen IT-Unternehmen zu schützen und gegenüber der Konkurrenz aus den USA in Stellung zu bringen?
"Es geht nicht um die Unternehmen, es geht um die Betroffenen. Und die werden in den ganzen Richtlinien vollkommen außen vor gelassen. Es geht nur darum, dass die Unternehmen keinen Schaden erleiden, obwohl sie Scheiße gebaut haben."
Von SSL-Verschlüsselung bis zu Clickjacking
Christian Horchert ist IT-Experte des Chaos Computer Clubs und schreibt im Blog netzpolitik.org über IT-Sicherheit.
"Das Einzige wäre Markt, also sprich: Dass ein Kunde sagt: Nee, bei dem Unternehmen will ich nicht sein, weil mir die Produkte zu unsicher sind. Aber er hat ja gar keinen Sinn dafür."
SSL-Verschlüsselung, Man-in-the-middle-Attacken, Botnets, Email-Kryptografie, Clickjacking...kommen Sie noch mit? Wissen Sie, wie Sie sich davor schützen? Wissen Sie, was sie tun müssen, wenn ihr Mailkonto gehackt wurde? Und wie sie einen sichereren Anbieter finden?
"Jemand betreibt einen Dienst, er baut irgendwelchen Mist, sein Kunde bezahlt dafür oder eben ein Dritter. Und solange das so ist, hat der, der den Dienst betreibt, überhaupt keinen Grund, irgendwas zu ändern."
Denn sicherere Software koste Arbeit und damit Geld. Außerdem brauche es striktere Meldepflichten für Datendiebstahl und Sicherheitslecks. Die NIS-Direktive ist hier aber viel zu lasch. Schon allein an der Definition, welche Infrastruktur als kritisch gilt, scheitert das Papier.
Ende des Jahres soll der Rat über die Richtlinie abstimmen. Aus Insiderkreisen heißt es allerdings schon jetzt, dass nicht alle Mitgliedsstaaten der Richtlinie im Rat zustimmen wollen.
Eine einheitliche Strategie zur IT-Sicherheit in allen EU-Staaten ist damit weiter nicht in Sicht. Es bleibt bei nationalen Insellösungen, wie sie der deutsche Innenminister Thomas de Maizière plant. Und so klingt auch der Wunsch der scheidenden Kommissarin für die Digitale Agenda, Neelie Kroes, nach einem fernen Ziel:
"Let's make Europe the worlds safest online space."