Vieles bleibt verborgen...

Dass der Erfahrungsaustausch mit den Unternehmen besser sein könnte, sieht auch Stephan Gerhager so: "Das Problem am NCAZ ist die Kommunikation mit der Wirtschaft. Es ist auch eine Vertrauenssache. Behörden, Wirtschaft und Forschungseinrichtungen müssen allesamt sensible Informationen im kleinen Kreis unter Verschluss halten - das klappt aber kaum, weil das Vertrauen untereinander einfach nicht da ist." An der Einbindung der Wirtschaft in die NCAZ-Prozesse werde hinter den Kulissen aber bereits intensiv gearbeitet. George sieht das Problem ähnlich: "Das NCAZ versucht natürlich, die Wirtschaft mit ins Boot zu holen. Wie aber soll das bei drei bis vier Millionen Einzelunternehmen in Deutschland gehen?" Deshalb sei die Kommunikation mit Unternehmerverbänden wie dem Bitkom zunächst ein sinnvollerer Schritt." Bis die Kommunikation richtig laufe, werde es in jedem Fall noch ein paar Jahre dauern, so Gerhager.

Dass die politische Kommunikation mit Wirtschaftsverbänden durchaus Früchte tragen kann, zeigt das seit 2004 stattfindende "Lükex"-Programm (Länderübergreifende Krisenmanagement-Übung/Exercise), eine Übungsserie im Bereich des nationalen Krisenmanagements. Es widmete sich unter BSI/NCAZ-Führung im Dezember dem Thema "Cyberwar". Drei Tage lang simulierten rund 3000 Mitarbeiter aus sieben Landesministerien und 21 Bundesbehörden unter anderem gezielte Angriffe auf die IT-Systeme von rund drei Dutzend Unternehmen aus kritischen Bereichen wie Energieversorgung, Logistik und Verkehr. Die Lükex-Übung wird seitdem ausgewertet - mit den Ergebnissen ist frühestens im April zu rechnen.

Gefälschte Treiber

Vertrauen aufzubauen ist nicht nur zwischen Politik, Wirtschaft und Forschung schwierig - auch die IT-Industrie kämpft zunehmend um das Vertrauen ihrer Kunden. Erfolgreich waren Stuxnet und Duqu vor allem deshalb, weil sie unter dem Deckmantel gefälschter Realtek-Netzwerktreiber mit offizieller Microsoft-Signatur arbeiteten und auf den infizierten Windows-Rechnern nicht weiter auffielen - schließlich taten sie so, als seien es von vertrauenswürdiger Seite geprüfte Applikationen. Genau dieses Vertrauen, das automatische Softwareprüfungsroutinen, aber auch die Anwender selbst den seriösen IT-Anbietern entgegen bringen, wird zunehmend missbraucht: "Programme, Unternehmen und Einrichtungen, denen die Menschen vertrauen, werden zunehmend vertrauensunwürdig", stellt Leon Ward, Produktmanager beim Sicherheitsunternehmen Sourcefire, im COMPUTERWOCHE-Interview fest.

Mit der Unterwanderung von Zertifikatsdiensten und schon allein dem gezielten Angriff auf einzelne große Hersteller, auch und gerade in der Sicherheitsindustrie, träfen die Attacken im Endeffekt alle Anwender. Das Grundvertrauen in die IT-Industrie sei irgendwann nicht mehr vorhanden, so Ward. Ilias Chantzos sieht den neuerlichen Vertrauensaufbau beim Kunden als große Herausforderung für die Industrie. "Je stärker wir von IT-Infrastrukturen abhängen, desto größer werden die Risiken eines Angriffs", kommentiert er bekannt gewordene, erfolgreiche Attacken unter anderem auf sein eigenes Unternehmen und den großen Mitbewerber RSA in der vergangenen Zeit.