Der digitale Daemon

(http://press.pandasecurity.com/wp-content/uploads/2011/01/The-Cyber-Crime-Black-Market.pdf).
    14 IBM GBS Studien, 2010.

Offizielle Versionen versus mögliche Wahrheiten – Cybersecurity und das Problem der Geheimhaltung – Sandro Gaycken
Wahrheit und Version
    Offizielle Versionen entsprechen nicht immer der Wahrheit. So viel wissen wir. Insbesondere in der Sicherheitspolitik besteht häufig eine Divergenz zwischen Wahrheit und Version. Das kann in unserem Interesse sein. Vor die Wahl gestellt, werden die meisten Menschen lieber mit ein paar Lügen leben als mit der Wahrheit sterben. Wenn also eine Wahrheit gefährlich ist – wie etwa, um ein drastisches Beispiel zu nennen, kritische Sicherheitsprobleme von Forschungsanlagen mit waffenfähigem Plutonium –, möchten wir, dass nur Vertrauenspersonen sich damit beschäftigen und dass ein solches Wissen gerade nicht in die breite Öffentlichkeit gelangt. Denn dort werden auch Gruppen vertreten sein, die dieses Wissen für unredliche Zwecke nutzen würden. Allerdings gibt es – innerhalb wie abseits der Sicherheitspolitik – auch weniger menschenfreundliche Gründe für Geheimhaltung. Denn Sicherheitsprobleme sind in der Regel auch Ausdruck eines Versagens. Und ihre Lösung kostet oft viel Geld. In solchen Fällen kann es opportun sein, die Geheimhaltung als Deckmantel zu nutzen, um sich vor Strafe und Kosten zu schützen. Das ist dann nicht mehr in unserem Interesse. Und das ist insbesondere dann nicht mehr in unserem Interesse, wenn es regelmäßig und in der Breite geschieht. Der Effekt ist dann nämlich, dass Sicherheit vorgegaukelt wird, wo keine Sicherheit existiert, wo also politischer Handlungsbedarf besteht, der aber ohne Einsicht der Öffentlichkeit oder der Kontrollinstanzen nicht zustande kommen kann.
Lügen im Cyberspace
    Genau hier liegt eines der drängendsten Probleme der Cybersecurity. Denn gerade die interessanten Cyber-Sicherheitsprobleme werden in der Regel geheim gehalten. Die Gründe sind vielfältig. Berechtigte Sicherheitsbedenken sind eine Seite. Erfolgreiche Cyberangriffe, ob kriminell oder militärisch, sind immer auch Indikatoren für einen ungenügenden Sicherheitsstand, und ihre Meldung kann also als Einladung für Folgeangriffe wirken. Allerdings ist das keiner der vorrangigen Gründe. Denn nach Bereinigung um die Details, ließen sich immer noch Angaben über den Vorfall als solchen und mögliche Schäden melden. Doch auf andere Weise wäre eine Veröffentlichung problematisch. Im Bereich des Staates müssen die Vorfälle prima facie als mögliche Bestandteile gegnerischer Strategien gewertet werden. Eine vorschnelle Bekanntmachung schränkt dann das Spektrum der Möglichkeiten des eigenen strategischen Reagierens ein und kann von dritten potenziellen Gegnern als Eingeständnis von Schwächen und Verwundbarkeit interpretiert werden. Das Hauptargument der Wirtschaft und der Infrastrukturbetreiber gegen eine Meldung heißt: »Vertrauensverlust«. Ein Unternehmen, das seine Forschungs- und Entwicklungsinformationen oder seine Prozesse nicht schützen kann, ist eben weniger vertrauenswürdig und wird möglicherweise in der Zukunft Verlust hinnehmen. Diesen Eindruck möchte man vermeiden, weil er sich in Form von fallenden Börsenkursen äußert. Für ein Unternehmen stellt das eine verständliche und vernünftige Haltung dar. Aber sie verhindert jede Öffnung nach außen. Und damit kommt diese Öffnung auch nicht zustande. Cybervorfälle in diesem Bereich gelangen so gut wie nie an die Öffentlichkeit (vgl. Vogel 2007, Lovet 2009). Unternehmen und Infrastrukturbetreiber sehen absolut keinen Mehrwert in einer Meldung, denn der Schaden ist in dem Moment ohnehin entstanden. Da ist es eben sinnvoller, sich wenigstens vor dem Spott noch zu schützen. Die staatlichen Kontrollinstanzen arbeiten schon lange und hart an einer Etablierung einiger Vertrauensverhältnisse in diesem Bereich, um wenigstens ein paar Informationen zu bekommen, welche die Einleitung einer Strafverfolgung und Warnungen vor ähnlichen Angriffen ermöglichen würden. Aber die Bereitschaft dazu ist nach wie vor gering. Abgesehen davon kommt es auch den Kontrollinstanzen gegenüber nur dann zur Öffnung, wenn sichergestellt wird, dass keine der Informationen an die Öffentlichkeit dringen. So werden die Behörden unfreiwillig zu Komplizen vorrangig monetär motivierten Vertrauensbetrugs. Realpolitisch ist das gerechtfertigt, und es ist sicher besser, wenigstens ein paar