Lesezirkel
Feeds
alle Blogeinträge mit RSSalle Blogeinträge mit AtomBlogeinträge (RSS)
alle Kommentare mit RSSalle Kommentare mit AtomKommentare (RSS)

BSI Geheimdienst oder Notwendigkeit ?

„Die gluecklichen Sklaven sind die erbittersten Feinde der Freiheit“ (Ebner-Eschenbach, Zitierung durch einen Teilnehmer auf dem BSI-Workshop)

In nur einer halben Stunde Diskussion wurde am 24. Oktober 1990 im deutschen Bundestag ein Gesetz besprochen, dessen Reichweite heute noch nicht zu ueberblicken ist. Nicht nur hat der Gesetzgeber dort ein neues Amt mit ueber 200 Mitarbeitern geschaffen, sondern definierte auch den Begriff der Sicherheit in der Informationstechnik (IT) im Hinblick auf Wirtschaft und Gesellschaft.

Es kann bekanntlich davon ausgegangen werden, dass die Produktionsgesellschaft sich endgueltig in eine Informationsgesellschaft wandelt und sich damit direkt und ursaechlich in Abhaengigkeit von der verwendeten Technik, insbesondere der Informationstechnik, begibt. Einem Bundesamt fuer Sicherheit in der Informationstechnik (BSI) kommt damit automatisch eine zentrale Rolle in der zukuenftigen Entwicklung zuteil.

Die Vorgeschichte

Wenn nun an dieser Stelle von einem neuen Bundesamt gesprochen wird, so ist erstmal zu erwaehnen, dass zwar der Status als Bundesamt neu ist, allerdings die Behoerde an sich schon aelter ist: Mitte der fuenfziger Jahre wurde schon die Zentralstelle fuer das Chiffrierwesen (ZfCh) gegruendet und dem Bundesnachrichtendienst (BND) zugeordnet. Die Existenz des ZfCh war lange Zeit unbekannt, da davon nur unter der Rubrik „vertraulich“ neben der Regierung der Innenausschuss des Bundestages informiert war. Das ZfCh befasste sich insbesondere mit kryptographischen Verfahren zur Verschluesselung von Nachrichten und Verfahren zum „Brechen“ von verschluesselten Nachrichten, sowie Koordination und Standardisierung solcher Verfahren im Rahmen der NATO.

Am 1.6.1989 machte das ZfCh seine erste Wandlung durch und wurde in Zentralstelle fuer die Sicherheit in der Informationstechnik (ZSI) umbenannt.

Damit anheim ging eine Erweiterung der Aufgaben auf den Bereich Sicherheit in der IT. Dies war die direkte Folge – des weit ueberschaetzten – Eindringen in Systeme der NASA, sowie der Folge des sogenannten KGB-Hacks.

Mit Wirkung vom 1.1.1991 hat nun das ZSI erneut seinen Namen geaendert und heisst nun BSI. Gleichzeitig wurde das BSI aus der organisatorischen Anbindung an den BND entlassen und nun direkt dem Bundesministerium des Innern (BMI) zugeordnet. Damit liess das neue Bundesamt aber seine Entwicklung nicht am Nagel der Geschichte haengen. Die Aufgaben des Bundesamtes waren deutlich ueber den geheimdienstlichen Bereich erweitert worden, so z.B. die Beratung der Wirtschaft und Bundes- bzw. Landesbehoerden in Fragen der Sicherheit, der Unterstuetzung der Datenschutzberater, etc. Allerdings wurde das BSI der Abteilung Innere Sicherheit 4, zustaendig fuer Geheim- und Sabotageschutz, als nationale Sicherheitsbehoerde zugeordnet. Leiter des BSI ist und bleibt Dr. Leiberich, der davor schon das ZSI und davor seit 1957 im ZfCh taetig war und seit 1974 deren Leiter war.

In dem Gesetzgebungsverfahren ist dem BSI noch die Aufgabe der Technologiefolgenabschaetzung (TFA) in Par. 3, Absatz 1, Punkt 7 mit auf den Weg gegeben worden und der Bundesinnenminister machte dies in seiner Rede vor dem Bundestag nochmal deutlich. Allerdings hat die organisatorische Anbindung an das BMI schon im Vorfeld dem BSI die Moeglichkeit genommen, erstmal ohne Misstrauen betrachtet zu werden. Die Diskussion ueber die nationale Sicherheitsbehoerde der USA, der National Security Agency (NSA) war noch nicht vergessen und die Befuerchtung, dass endgueltig ein neuer Geheimdienst im Bereich der IT geschaffen wird, wurde immer haeufiger laut.

Das BSI laedt ein …

Ende April traffen sich Experten aus dem Gebiet der Wissenschaft, Wirtschaft und der Behoerden zu einem Workshop in Boppard. Das BSI hatte unter der Ueberschrift „IT-Sicherheit: moegliche Folgen fehlender oder unzureichender Sicherheitsvorkehrungen“ an den idillischen Ort am Rhein in die Bundesakademie fuer oeffentliche Verwaltung der Naehe von Bonn geladen. Die Liste der geladenen Teilnehmer las sich wie ein „Who is Who“ der IT-Sicherheit-Engagierten. Teilnehmer aus den diversen Universitaeten, dem Virus-Test-Labor Hamburg, Firmen wie Debis, Siemens und IABG, Landesdatenschutzbeauftragte aus Berlin und NRW, Projekttraeger, Ministerialraete aus den diversen Ministerien, sowie gesellschaftliche Gruppen wie DGB, Gesellschaft fuer Informatik (GI) oder Chaos Computer Club waren vertreten.

Die zentralen Aussagen auf diesem Workshop sollen hier dargestellt werden. In der Begruessung wuerdigte der BSI-Praesident Dr. Leiberich das Erscheinen von ca. 50 Teilnehmern und lobte den Initiator der Veranstaltung Dr. Ulrich fuer sein Engagement. Dr. Ulrich hat sich in der Fachwelt schon einen Namen durch seine Publikationen im Bereich der TFA und der Restrisiken in der Informationssicherheit gemacht und arbeitete nun seit kurzem im BSI. Schon die Begruessung wurde von einigen Teilnehmern als Distanzierung zu Dr. Ulrich und der Veranstaltung aufgefasst und auch im weiteren Verlauf der Veranstaltung kam der unbefangene Teilnehmer nicht umhin zu vermuten, dass der Bereich TFA, im Bundesamt durch Dr. Ulrich vertreten, ein Novizendasein fuehrt.

Als erster Referent ergriff Prof. Rossnagel von der FH Darmstadt das Wort. Er legte dar, dass die bisherigen Bemuehungen um IT-Sicherheit zu technikzentriert seien und die gesellschaftliche Einbettung des Sicherheitsproblems nur unzureichend beruecksichtigen. Informations- und Kommunikationssysteme seien Systeme mit Auswirkungen auf die Gesellschaft und seien daher als soziotechnisches System aufzufassen. Wie die meisten Teilnehmer war auch er der Meinung, dass die Verletzlichkeit der Gesellschaft nicht nur durch technische Massnahmen zur Verhinderung von Fehlern und Missbraeuchen veringert werden muss, sondern das auch die Abhaengigkeit der Gesellschaft von Informations- und Kommunikationstechnik und das dadurch bestehende Schadens- und Katastrophenpotential beeinflusst werden muss. Es gehoert eben nicht nur zur IT-Sicherheit die moeglichen Fehler eines Systems zu betrachten, sondern auch im Verhaeltnis das Risiko, das allein durch den Rechnereinsatz entsteht.

Als Beispiel wurde ein einfacher Lesefehler einer Festplatte bei der Pariser Justiz angefuehrt, der dazu fuehrte das aus mehrere Bescheiden wegen Vekehrssuenden ploetzlich Delikte wegen Drogenmissbrauch und Prostitution wurden. Diese eher harmlosen Folgen stehen aber auch katastrophe Fehler im Rechnereinsatz entgegen, wie ein Softwarefehler in einem Programm zur Steuerung einer Bestrahlungsapparatur in einem Krankenhaus. Weil ein bestimmte Zustand vom Programmierer nicht vorgesehen waren, wurden 2 Patienten mit erhoehter Strahlung behandelt was zum Tode der Betroffenen fuehrte.

Ebenso machte Prof. Rossnagel darauf aufmerksam, dass ein Fehler in Rechensystemen weit aus staerkere Folgen haette als gemeinhin angenommen. Durch die Verkettung der Gesellschaft wuerde der Ausfall von zentralen Rechner in einigen Grossstaedten sich im gesamten System fortpflanzen und eine Gefahr fuer die Gesamtheit darstellen. Ein „Chaosmanagment“ waere aber dann auch nicht mehr moeglich, weil die gesamte dafuer notwendige Infrastruktur ebenfalls ausgefallen waere. Eine schreckliche Vorstellung fuer jedem im Katastrophenschutz.

Das BSI hat – aehnlich wie ihre Vorgaenger in anderen Staaten – den Weg des technokratischen Sicherheit gewaehlt und sich damit auf einen Wettlauf zwischen steigender Verletzlichkeit und Sicherungstechnik eingelassen, die letztere kaum gewinnen kann.

Prof. Brunnstein vom Virentestlabor in Hamburg fuehrte in seinem Beitrag ebenfalls aus, dass er beim BSI eine Fehlentwicklung sieht, weil sich das BSI allein auf technische Massnahmen konzentriert. Da es aber keine sichere Systeme geben kann, muessen technisch und sozial beherrschbare Systeme gefordert werden. Unter beherrschbaren Systemen muessen aber Systeme verstanden werden, die von Menschen noch erfasst und damit kontrolliert werden koennen. Da aber die gesamte heutige Computertechnik auf die Ideen von Neumann aufbaut, ist dies faktisch unmoeglich. Von Neumann hatte den Rechner mit seinem Bus, Speicher, CPU, etc verglichen mit dem Aufbau des menschlichen Gehirns und ging dadurch von einer moeglichen Transparenz zwischen Mensch und Maschine aus.

Heute wissen wir, dass diese Aehnlichkeit nicht besteht, also der Rechner ansich dem Menschen immer fremd bleiben muss.

Dr. Buellesbach von der Daimler Benz Informationssysteme (debis) und fruehrer Datenschutzbeuftrager Bremens ging das Sicherheitsproblem von der Entwicklungsseite an. Er kritisierte das nachtraegliche Aufspueren von Sicherheitsluecken mit Hilfe von Tiger-Teams, also professionel-angestellten Hackern, und legte dar, dass bei der Entwicklung von Software in Zusammenarbeit mit den Betroffenen (Betreiber, Benutzer, Anwender) die Basis fuer „Security Managment“ gelegt werden muss. Gleichzeitig muss ueber Sicherheitsprobleme oeffentlich diskutiert werden, denn diese Transparenz ist die Basis fuer den Fortschritt. Zwar stehen dem Sicherheitsbedenken der Hersteller oder Abwender entgegen, aber in der Regel sei Verheimlichung kein Sicherheitsgewinn.

Eine ganze andere – eher pragmatische – Sichtweise wurde von Dr. Bunge, Ministerialrat beim Bundesrechnungshof, vorgestellt. Das BRH stellt haeufig Sicherheitsmaengel fest, die allerdings nicht bekannt werden. Dadurch werden aber aehnliche Maengel in anderen oeffentlichen Einrichtungen nicht beseitigt. Daher ist der Rechnungshof dazu uebergegangen, solche Maengel anonym zu veroeffentlichen. Dabei werden diese aber abstrakt dargestellt um Nachahmungstaeter zu vermeiden. Die Details gelten als vertraulich. Sicherheit ist fuer den BRH ein wichtiger Punkt, da es ueber den angemessen und wirtschaftlichen Einsatz staatlicher Gelder wacht. Auf der einen Seite kostet Sicherheit aber Geld, ein evntl. Schaden kann auch grosse finanzielle Aufwendungen nachsichziehen. Inzwischen muss daher bei Antrag auf den Einsatz von Rechnern ein Nachweis ueber Angemessenheit und eine Risiokoabschaetzung eingereicht werden.

Das BRH beschaeftigt sich darueber hinaus nicht nur mit der punktuellen Sicherheit einzelner Systeme, sondern auch im Gesamtkonzept Mensch-Organisation-Technik. Beispielsweise findet im Augenblick eine Diskussion ueber den Einsatz von Unix im Hinblick auf Sicherheit, Wirtschaftlichkeit und Risiko statt.

Am 2. Tag der Veranstaltung erlaeuterten Dr. Pfitzmann von der Uni Karlsruhe und Prof. von Henke von der Uni Ulm, die Anforderungen von IT-Systemen bezuegl. Funktionalitaet und Korrektheit. Dabei wurde erlaeutert, dass die Regel Fehler in der Software und seltener in der Hardware liegen. Kleine Fehler in Fortranprogrammen koennen Raumsonen um Hunderttausende von KM ihr Ziel verfehlen lassen (und Cruise Missiles um paar Meter). Ein Loesungsansatz wurde z.B. beim Airbus 320 verwendet. Zwei vollkommen eigenstaendig entwickelte Systeme, die ihre Ergebnisse vergleichen. Solange ihre Ergebnisse uebereinstimmen, kann davon ausgegangen werden, dass das Ergebnis richtig ist. Bei nicht uebereinstimmung koennen entsprechende Massnahmen eingeleitet werden. Allerdings hat das System auch seine schlechten Seiten, wie der Absturz bei einer Airbus-Vorfuehrung in Paris gezeigt hat.

Als abschliessendes Referent brachte Herr Lau von der Uni Rostock noch einen Einblick in die Situation in der ehemaligen DDR. Eine Abteilung Datensicherheit war der Abt. Geheimnisschutz des Ministerrates in der DDR unterstellt. Datenschutz an sich gab es in der DDR nicht. Datensicherheit selbst wurde aber auch an den Universitaeten gelehrt. Fuer Informatiker waren da 30 SWS Pflicht. Ob das so bleiben wird, ist unklar. Geplant ist demnaechst ein Workshop von der Uni Rostok un der Uni Bremen zur Rechtsangleichung des Datenschutzes.

Was nun BSI ?

Wo sieht das Bundesamt aber seine zukuenftige Aufgabe ? Die Teilnehmer waren einer Meinung, dass die Arbeit des BSI auf Grundlage des Errichtungsgesetzes geschehen muesse, aber dieses genug Freiraeume zum setzen von Schwerpunkten und Prioritaeten lassen wuerde. Dabei wurden den Punkten Oeffentlichkeitsarbeit, Kooperation mit der Wissenschaft, Unterstuetzung der Datenschutzbeauftragten und der Technologiefolgenabschaetzung hohe Stellenwerte eingeraeumt. Es kam der Wunsch auf, dass die Technologiefolgenabschaetzung eine eigene Abteilung im BSI werden wuerde und nicht stiefmuetterlich am Rande zum Vorzeigen verwendet werden wuerde. Die parlamentarischen und ausserparlamentarischen Kontrolmechanismen werden einen besonderen Augenmerk auf die TFA werden, die ja erst im letzten Augenblick in das Gesetz aufgenommen wurde.

Die Teilnehmer der abschliessenden Podiumsdiskussion sprachen sich durchweg fuer die Verbindung zwischen Technik und Gesellschaftlicher Verantwortung aus.

Sicherheit darf nicht nach dem olympischen Prinzip (hoeher, weiter, schneller), so Prof. Dierstein, betrachtet werden, sondern auch nach TFA und Verfassungskonformitaet. Auch wurde die Zusammenarbeit zwischen Juristen, Technikern, BSI und Betroffenen angemahnt, sowie regelmaessige Treffen zum Bereich der TFA vorgeschlagen.

Die Abschlussrede blieb Dr. Leiberich vorenthalten. Er bedankte sich bei den Teilnehmern und lobte die Diskussion. Dann erlaeuterte er, wo er die Schwerpunkte des BSI sehen wuerde, naemlich im Bereich der Verhinderung des Abhoerens kommerzieler und staatlicher Links. Diese Gefahr erlaeuterte er recht ausfuehrlich.

Dass in naechster Zeit wirklich nicht mit einer Aenderung der Einstellung zu rechnen ist, zeigt die 2. Deutsche Konferenz ueber Computersicherheit, die Mitte Juni vom BSI und BIFOA veranstaltet wird.

Von ueber 30 Vortraegen beschaeftigt sich keiner mit TFA. Dafuer gibt es aber eine Podiumsdiskussion ueber „Techno-Terrorismus“ und Kongressgebuehren von ueber 1000 DM. Ob damit der Gesellschaft geholfen ist ?

Und in wie weit es sinnvoll ist, dass die von der ehemaligen ZSI entwickelten Sicherheitskriterien fuer Software kein Wort der TFA enthaelt und die Ueberpruefung von Software nach diesen Kriterien – neben drei TueV-Anstalten – auch von der IABG in Muenchen vorgenommen werden, also einer Firma die zu grossen Teilen dem Bund gehoert und bis jetzt stark fuer die Geheimdienste und dem Verteidigungsministerium gearbeitet hat, spricht ebenfalls nicht dafuer, dass das BSI ernsthaft um eine Trennung seiner Vergangenheit bemueht ist.


Kommentieren ist momentan nicht möglich.