Kürzlich wurde die Zentrale Stelle für Informationstechnik im Sicherheitsbereich (Zitis) eröffnet. Sie soll die deutschen Behörden im Bedarfsfall zum Beispiel mit Software für die IT-forensische Auswertung beschlagnahmter Geräte, aber auch mit Überwachungs-Software versorgen. Im Umfeld der Eröffnung traf Bundesinnenminister Thomas de Maizière eine bedenkliche Aussage. Seiner Ansicht nach ist es keineswegs ausgeschlossen, dass Deutschland Software-Schwachstellen von Fremdanbietern kauft.
Feierliche Eröffnung
Feierlich wurde das Zitis in Gegenwart seines zukünftigen Direktors Wilfried Karl, des Bundesinnenministers Thomas de Maizière sowie der bayerischen Wirtschaftsministerin Ilse Aigner eröffnet. Die Behörde soll zukünftig dafür sorgen, dass deutschen Geheimdiensten und Ermittlungsbehörden die nötige Software zur Verfügung steht. Dazu zählt auch Software zur Überwachung Verdächtiger.
Ankauf von Exploits?
De Maizière traf einige durchaus vernünftige Aussagen zur IT-Sicherheit. So bekannte sich der Minister zu einer sicheren Verschlüsselung, auch einer Ende-zu-Ende-Verschlüsselung, und erteilte dem bewussten Einbau von Schwachstellen oder Hintertüren, wie ihn etwa seine englische Amtskollegin Amber Rudd erwägt, eine Absage.
Daneben traf de Maizière aber auch deutlich beunruhigendere Aussagen. So erklärte er, es sei durchaus möglich, dass Deutschland ausnutzbare Software-Schwachstellen (sogenannte Exploits) von Drittanbietern kaufe. Zitis-Direktor Karl hatte derartige Praktiken zuvor ausgeschlossen. „Unsere Aufgabe ist gesetzlich festgelegt und gesetzesorientiert. Das bedeutet: Es gibt keinen Ankauf von 0-Days auf Grau- oder Schwarzmärkten. Es gibt keine Zusammenarbeit mit unseriösen Firmen,“ hatte Karl noch vor Kurzem gegenüber Journalisten betont.
Ein Vorgehen wie das von de Maizière geforderte ist höchst problematisch. Um Schwachstellen für die Zwecke der Behörden nutzen zu können, werden diese bewusst offen gelassen. Fallen sie später – etwa durch Leaks, aber auch schlichtweg durch Recherche von IT-Kriminellen – destruktiven Akteuren in die Hände, kann viel Schaden an den Systemen vollkommen unbeteiligter Nutzerinnen und Nutzer entstehen. So wurde die spektakuläre „WannaCry“-Epidemie, bei der unter anderem kritische Infrastrukturen mit einem Ransomware-Trojaner infiziert und durch diesen unbenutzbar gemacht wurden, über eine Windows-Sicherheitslücke ermöglicht, die der NSA seit Jahren bekannt war.
Mit seinen Aussagen zog de Maizière auch die Kritik von Bürgerrechts-Aktivistinnen und -Aktivisten auf sich. „Unverantwortlich“ nannte etwa unmittelbar vor der Veranstaltung Hartmut Goebel von der Bürgerrechtsorganisation Digitalcourage die geplante Nutzung der Exploits. „Über diese Lücken werden weltweit täglich kritische Infrastrukturen, Unternehmen, Journalistinnen, Parlamente und Bürgerinnen angegriffen. Der Staat hat die Pflicht, Sicherheitslücken zu schließen und darf sie nicht fördern.“
Dass Deutschland nun auch eine derartige Politik in Erwägung zieht, ist unerfreulich, aber kaum überraschend. Die IT- und Datensicherheit muss hierzulande leider schon lange hinter den (vermeintlichen) Belangen der Ermittlungsbehörden zurücktreten.
Kritik unerwünscht
Angesichts dieser bedenklichen Haltung de Maizières verwundert es nicht, dass der Minister Kritik am Zitis und dessen Vorgehensweise nicht so gerne zu sehen scheint, wie er bei der Eröffnungsfeier noch betonte. So hatte die Bundesbeauftragte für den Datenschutz, Andrea Voßhoff , kürzlich beklagt, beim Aufbau des Zitis nicht einbezogen worden zu sein. Daraufhin teilte der Bundesinnenminister kurzerhand mit: „Bei einer solchen Forschungsstelle ist die Bundesdatenschutzbeauftragte gar nicht zu beteiligen.“ Sie sei aber jederzeit eingeladen, sich über die Forschungsarbeit zu informieren.
Auch die zwei Protestierenden von Digitalcourage waren offensichtlich alles andere als willkommen. Sie mussten die Veranstaltung von draußen verfolgen und bekamen sogar Schwierigkeiten durch die Androhungen des bayrischen Versammlungsverbots.
Die Wächter überwachen
Der für das Zitis eingeschlagene Kurs stimmt bedenklich. Datenschutz und IT-Sicherheit müssen anscheinend wieder einmal hinter dem Wunsch nach größtmöglicher staatlicher Kontrolle zurücktreten. Auch die Kritik- und Beratungsresistenz, die sich bereits jetzt abzeichnet, ist alles andere als Vertrauen erweckend. So bleibt nur, dem Zitis – sofern angesichts der problematischen Struktur und behördlichen Geheimhaltung möglich – auf die Finger zu schauen und durch politischen Druck unklugen und gefährlichen Ideen wie dem Handel mit Exploits entgegenzuwirken.
Image (adapted) „IT“ by joffi (CC0 Public Domain)
Related Articles
Artikel per E-Mail verschicken
Schlagwörter: Behörden, Bürgerrechte, Datenschutz, de Maizière, Exploits, IT-Kriminelle, NSA, sicherheit, software, staatliche Kontrolle, Überwachung, Zitis