Der digitale Daemon

Erkenntnisse zu erhalten als gar keine. Politisch aber ist die sich entwickelnde Gesamtlage höchst schwierig. Denn allenorts wird auf der Basis von Hintergrundgesprächen und externen Indikatoren vermutet, dass das Ausmaß geheim gehaltener Spionage- und Sabotageaktivitäten auf Cyberebene längst epidemische Ausmaße angenommen hat. Für staatliche Spionage zumindest gilt sicher, dass wir uns längst in einer deutlich verschäften Sicherheitslage befinden würden, wenn wir jeden Tag so viele reale Spione erwischen würden wie wir hoch qualifizierte Cyberspionageangriffe detektieren.
    Die wichtige und interessante politische Frage lautet also: Darf Vertrauensverlust vermieden werden, wenn er berechtigt ist?
    Die Antwort auf diese Frage lässt sich vielleicht über einen Rekurs auf eine andere realpolitische Frage geben: Ist der Vertrauensverlust denn notwendig oder wird auch ohne ihn hinreichende Sicherheit in angemessener Zeit eingerichtet werden? Können wir auf den öffentlichen und politischen Druck verzichten?
    Fairerweise muss der Wirtschaft ein zum Teil hohes Maß an Sorge und Aktivität zugerechnet werden. Zur Bekämpfung illegaler Inhalte und kleinerer Cybercrime-Vergehen etwa sind Netzwerk-Modelle von Cybersecurity entstanden, bei dem Internet Service Provider, e-Commerce-Firmen, Softwarefirmen, Banken und andere zusammenarbeiten und dabei von eigens zu diesem Zweck gegründeten Gruppen unterstützt werden. Das Hintergrundwissen und die Flexibilität dieser privaten Zusammenschlüsse werden von einigen staatlichen Stellen begrüßt und als wichtiger Schritt erachtet (Marsden 2006, Sieber 2008). Allerdings wird diese Variante selbstregulierter Selbstjustiz trotz einiger Fortschritte nicht als ausreichend bewertet. Die Industrie hat vorrangig Interesse an einer Vermeidung der Verstrickung in illegale Aktivitäten (da dies teure und folgenreiche Regulierungen nach sich ziehen kann), aber kein Interesse an einer nachhaltigen Verfolgung der Täter (vgl. Tropina 2012, Gercke et al. 2011).
    Auch im Bereich des passiven Schutzes, also der Erhöhung der Sicherheit der Systeme selbst, ist Bewegung festzustellen. Bereiche wie der Finanzmarkt etwa bemühen sich hier ernsthaft und intensiv. Allerdings stoßen diese Bemühungen an Grenzen. Sobald Sicherheit fühlbar in eingeschliffene und für den Betrieb als notwendig erachtete Prozesse einschneidet, wird sie weit weniger tolerabel, als wenn sie für den laufenden Betrieb folgenlos an irgendein Ende quasi »aufgeschraubt« wird. Angesichts dieser impliziten Bedingungen ist dann zu fragen, ob sich innerhalb dieser Grenzen vernünftige Sicherheit herstellen lassen kann. In vielen Bereichen, wie kritischen Infrastrukturen und dem Finanzmarkt, herrschen dazu berechtigte Zweifel. Zudem reagieren auch viele Unternehmen eher halbherzig auf die ganze Aufregung. Für sie produziert Cybersecurity keinen mittelfristigen Return on Investment, so dass aus betriebswirtschaftlicher Perspektive höchstens halbherzige Sicherheitslösungen eingekauft werden. Oder es wird sogar nur der allerbilligste Weg zur Sicherheit eingeschlagen: Marketing. Man klebt einfach ein »Cybersecurity«-Label auf einige ohnehin schon existierende Administratoren, steckt die in ein gesondertes Büro und schon kann die PR-Abteilung Interesse an Sicherheit vortäuschen. Viele Unternehmen hoffen, auf diese Weise so lange durchhalten zu können, bis die politische Aufmerksamkeit sich wieder anderen Themen zuwendet.
Cybersecurity – Was ist das wahre Problem?
    Ob sich angemessene Cybersecurity also ohne jede öffentliche Kenntnis des wahren Sachstands und des damit entstehenden Drucks realisieren lässt, muss dringend bezweifelt werden. Dabei vermuten viele Experten, dass das wahre Problem anders liegt, als es öffentlich und politisch gegenwärtig gefasst wird, und dass es viel gewichtiger und gewaltiger ist, als bisher angenommen. Die Öffentlichkeit, insbesondere in Europa, vermutet noch häufig die medial besonders präsenten Ereignisse wie Estland 2007, Kreditkartenbetrügereien, Botnetze oder Wikileaks als Probleme der Cybersecurity. Diese Ereignisse liegen in der öffentlichen und damit auch in der politischen Wahrnehmung weit vorne, weil sie eben auch besonders sichtbar waren und nicht geheim gehalten wurden. Die wahre Gefahr liegt aber im Nichtsichtbaren. Es wurde bereits angedeutet, was als dieses echte Cybersecurity-Problem zu vermuten ist: massenhafte Spionage, ergänzt von Manipulationen, von