Der digitale Daemon

Sabotageaktivitäten, beides schwerpunktmäßig in Wirtschaft, Produktion und Finanzindustrie, ausgeführt durch ressourcenstarke und kaum abzuwehrende Gegner wie kriminelle Organisationen und Staaten. Dies sind bedeutende Gefahren, viel größere und wichtigere Gefahren als die oft aufgebauschten Cybersecurity-Märchen in der Presse, denn sie sind präsent, real und die langfristigen Schäden sind immens. In den nächsten Jahren werden noch weitere Gefahren anderer Art dazukommen.
    Der Aufbau offensiver Cybertruppen befindet sich noch in seinem Anfangsstadium, und die Möglichkeiten werden vielen Akteuren gerade erst bewusst. Propaganda und massenhafte politische Manipulation sind hier zu nennen. Sie werden ein unauflösbares, strukturelles Problem für die politischen Heilserwartungen an das Web 2.0 werden. Außerdem sehen bereits jetzt viele Schwellen- und Entwicklungsländer Cyberwar als »Strategic Equalizer«, das heißt als ein Mittel, um den jahrhundertelang überlegenen westlichen Industrienationen endlich mindestens gleichberechtigt entgegen treten zu können. Diese neue Sichtweise wird alteingesessene Machtverhältnisse verschieben und kann viele Staaten zu Konflikten verführen, bei denen sie sonst eine Einmischung des Westens zu befürchten gehabt hätten. Diese tiefgreifende Änderung der globalen sicherheitspolitischen Verhältnisse durch Cyberwar-Kapazitäten ist keine Fiktion mehr, sondern aktiv in Planung. Die westliche Politik hat es bloß noch nicht verstanden. Auch das ist potenziell eine wichtige Veränderung. Bis diese neuen Gefahren allerdings wirksam und sichtbar sind, könnten die vielen geheim gehaltenen Spionage- und Sabotageaktivitäten bereits deutliche und nachhaltige Schäden angerichtet haben. Diesen bereits akuten Problemen muss also dringend mehr Aufmerksamkeit zuteilwerden. Und das geht nur über eine strenge Regulierung zur Bekanntmachung der Vorfälle. Ohne öffentliche Einsicht wird hier kein angemessener Druck aufgebaut werden können.
Die Öffnung wagen
    Selbstregulierung wird in diesem Fall nicht effizient sein. Selbstregulierung könnte vorgeschrieben werden (Bartle/Vass 2007), also als staatlich initiierte und gelenkte Selbstregulierung instanziiert werden. Aber auch hier ist wenig realer Erfolg zu erwarten. Die Interessen der Betroffenen sind zu stark und zu eindeutig gegen jede Bekanntmachung von Vorfällen gerichtet. Der Staat ist also gefordert, streng und eindeutig die Bekanntmachung von Cybervorfällen zu verlangen. Formulierungen könnten sich etwa an den bereits existierenden Gesetzgebungen zu Benachrichtigungen bei Datendiebstählen orientieren (vgl. California Civil Code Sec. 1798.82, Sektion 42a des BDSG sowie die Publikation NCSL 2011). Um eine zumindest teilweise Kooperation der Wirtschaft zu erwirken, kann ein zweistufiges Modell erwogen werden, in dem die Unternehmen zuerst staatlichen Stellen einen vollen Einblick in jeden Vorfall gewähren und erst später eine um sicherheitskritische Details bereinigte Mitteilung an die Öffentlichkeit erfolgt. Neben der Regulierung der Wirtschaft sollte der Staat auch eine Änderung des eigenen Umgangs mit Geheimhaltung erwägen. Zumindest die Rahmendaten und die möglichen Folgen sollten ermessen und mitgeteilt werden.
    Drei Probleme bei der Umsetzung von Forderungen nach lückenloser Bekanntmachung sind absehbar: die Erfassung von Vorfällen, die Erfassung der Bedeutung von Vorfällen und die Durchsetzung der gesetzlichen Forderungen. Die Erfassung von Vorfällen ist ein bereits bekanntes Problem. Die Dunkelziffer überhaupt nicht erst bemerkter Cybervorfälle, insbesondere solcher, die durch Innentäter ausgeführt werden, wird allgemein als groß angenommen. Indikatoren dafür sind die regelmäßigen Neuentdeckungen von Vorfällen, sobald neue Sensoren und analytische Tools eingesetzt werden. Eine Regulierung hin zu einer Bekanntmachung von Vorfällen sollte diesem Problem begegnen, indem bei Strukturen mit bestimmten Cyberrisiken die Haltung angemessener Kontrollsysteme angemahnt wird. Ein angegliedertes Problem wird die Erfassung der Bedeutung eines Vorfalls sein. Auch dies fällt gegenwärtig selbst den Analysten schwer. Oft lässt sich nur feststellen, dass ein Einbruch stattfand, aber nicht, ob etwas entwendet wurde, was entwendet wurde, wann oder von wem angegriffen wurde und ob vielleicht sogar etwas manipuliert wurde. Dieser Unklarheit lässt sich allerdings zum Teil begegnen, wenn umfangreich geloggt wird,