Informatiker zweifeln Mythos der Unfehlbarkeit von Computersystemen an:

Systemimmanente Fehler können versehentlich Atomkrieg auslösen

20.01.1984

Nach der Stationierung der ersten Pershing II verlagert sich die Diskussion um die Gefahren eines atomaren Krieges "aus Versehen" zunehmend auf die fachspezifischen Ebenen. Die artikulierten Ängste vieler Datenverarbeitungsspezialisten (siehe COMPUTERWOCHE Nr. 47 vom 18. 11. 1983) führten mit dazu, daß sich die Abgeordneten des Deutschen Bundestages einer Flut von Wähleranfragen besorgter Bürger gegenübersehen. Die Antworten der angeschriebenen Abgeordneten klingen in der Regel allerdings eher beschwichtigend denn beruhigend. (Zitate: "Die bisherigen Fehlmeldungen haben zu keiner gefährlichen Situation geführt", "Technische Pannen sind durch sich einander ausschaltende Sicherheitssysteme ausgeschlossen", "Alle in der Vergangenheit aufgetretenen Fehler wurden von Systemen festgestellt und korrigiert. Menschen griffen nicht ein".)

Daß eine Unsicherheit seitens der Mandatsträger über die fachliche Bewertung der Materie existiert, beweisen Aussagen über die einzelnen Sicherheitsstufen, die nach Warnmeldungen des Computers im amerikanischen Luftverteidigungsstützpunktes NORAD (North American Air Defense Command) in Kraft treten. Entgegen Informationen aus dem amerikanischen Verteidigungsministerium sprechen bundesdeutsche Politiker von fünf bis sieben Sicherheitsstufen. Tatsächlich ist jedoch im Untersuchungsbericht der amerikanischen Senatoren Barry Goldwater und Gary Hart über Fehlalarme im "Missile Attack Warning System" der amerikanischen Luftverteidigung zu lesen, daß nur drei Sicherheitsstufen existieren. Über Fehler im computergestützten Warnsystem beruhigt beispielsweise Dr. Paul Laufs, CDU-Abgeordneter und Mitglied des Deutschen Bundestages, anfragende Bürger: "Die Fehler wurden in der ersten Sicherheitsstufe abgefangen und erkennt. Ein Computerfehler ist entgegen einer maßlosen Sensationsberichterstattung noch nie auf der zweiten oder schon gar nicht auf der dritten Sicherheitsstufe

(Anmerkung der Redaktion: Das wäre der atomare Gegenschlag) aufgetreten."

Bundesverteidigungsminister Manfred Wörner (CDU) sagte in seiner Rede am 22. November des vergangenen Jahres vor dem Deutschen Bundestag, das Kontroll- und Alarmsystem beider Supermächte sei so aufgebaut, daß bei einem Alarm die Computer nur in den ersten Sicherheitsstufen entscheidende Bedeutung hätten. Bei fast allen der genannten 140 Fehlalarme im amerikanischen Frühwarnsystem, so der Minister, wurden die aufgetretenen Fehler bereits mit technischen Mitteln und nicht erst durch Menschen festgestellt. Wörner: "Man ist nicht einmal in die Nähe einer gefährlichen Situation gekommen."

Dieser Aussage widerspricht allerdings der Senatorenbericht von Hart und Goldwater, in dem von vier Fehlalarmen die Rede ist, die erst in der zweiten Sicherheitsstufe aufgeklärt werden konnten.

In dem Bericht des Untersuchungsausschusses werden diese Sicherheitsstufen näher beschrieben: Im "Missile Warning Center" bei NORAD werden ständig die Daten eines weltweiten Frühwarnsystems von Satelliten, Radarstationen und Aufklärungsflugzeugen überwacht und daraufhin überprüft, ob einlaufende Warnmeldungen stimmen oder ob hier ein Computerfehler vorliegt.

Sicherheitskonferenzen gehören zum Alltag

Die diensthabenden Offiziere versuchen in einer ersten Konferenz, der sogenannten "Missile Display Conference", zu klären, ob es sich um einen echten oder falschen Alarm handelt. Allein im Jahr 1980 fanden, so der Senatorenbericht, 2159 dieser "Missile Display Conferences" statt, also durchschnittlich fünf bis sechs pro Tag.

In einer zweiten Sitzung, der "Threat Assessment Conference" wird danach entschieden, ob eine tatsächliche Bedrohung durch anfliegende Raketen vorliegt. In diesem Fall meldet NORAD über Kabel und Satellit den Angriff an SAC, das strategische Kommando der Luftwaffe ferner an das Nationale Militärische Kommandozentrum tief unterhalb des Pentagon sowie an das Alternative Nationale Kommandozentrum bei Fort Ritchie in Maryland. 1979 und 1980 wurden vier "Threat Assessment Conferences" anberaumt.

Bei der nächsten und letzten Stufe handelt es sich um die "Missile Attack Conference", an der alle Führungsoffiziere und der Präsident der Vereinigten Staaten teilnehmen. Hier fällt die Entscheidung, ob ein Atomangriff vorliegt, der den atomaren Gegenschlag zur Folge haben könnte. Eine derartige Konferenz hat bis heute noch nicht stattgefunden.

Auf eine Anfrage an das Verteidigungsministerium, welches denn nun die "mindestens" fünf Sicherheitsstufen seien, von denen Manfred Wörner und zahlreiche Abgeordnete sprechen, antwortete Pressesprecher Jürgen Reichardt: "Es handelt sich hier um eine Zusammenfassung der Kontrollinstanzen, die sowohl technisch eingebaut sind als auch führungsmäßig organisatorisch." Diese Themen würden in der Öffentlichkeit auch nicht ausführlich, sondern eher volkstümlich dargestellt.

Durch die immer hartnäckigeren Fragen der Öffentlichkeit sah sich das Verteidigungsministerium mittlerweile gezwungen zu reagieren. Deshalb wurde in der letzten Dezember-Ausgabe des Informationsdienstes Sicherheitspolitik (ISP) das Thema "Krieg aus Versehen" behandelt.

Hier nun erfahren Bundesbürger, daß die Medien sie zwar mit einer Fülle von "Tatsachen", aber auch mit Halbwahrheiten, Irrtümern und Propagandathesen konfrontiert hätten. Unter anderem kaschieren die Autoren des Informationsdienstes, daß es je einen Störungsfall gab, der in eine ernsthaft gefährliche Situation geführt habe. Zudem sei es nicht wahr, daß Einsatzentscheidungen innerhalb von Minuten getroffen werden müßten: "Sollte ein Frühwarnsystem - etwa aufgrund einer Fehlinformation - einen Angriff melden, würden die Entscheidungen auf der Grundlage der Einschätzung getroffen, daß ein nuklearer Überraschungsangriff so lange ausgeschlossen ist, wie beide Seiten über überlebensfähige nukleare Gegenschlagsysteme verfügen" (Originaltext: ISP 2/83, Dezember 1983, Seite 1). Außerdem konsultierten die Amerikaner vor dem Einsatz von Kernwaffen auch noch ihre NATO-Partner.

Zeitplan geht nicht auf

Dieser ISP-Aussage steht Professor Jörg H. Siekmann von der Universität Kaiserslautern eher skeptisch gegenüber: "Wir wissen, wie in den westlichen Verteidigungssystemen die acht Minuten, also die Flugzeit moderner sowjetischer Raketen vom Start bis zum Einschlag, verbraucht werden."

Zwei Minuten benötige man, um Typ und Anzahl der anfliegenden Raketen zu lokalisieren. Danach werde die Flugbahn berechnet. Eine weitere Minute vergehe, um die Information über das NORAD-System an den amerikanischen Präsidenten zu schicken. Sollte sich der Präsident entscheiden, zurückzuschlagen, dauere es eine Minute, um diesen Befehl an die einzelnen Raketenstationen zu übermitteln.

Die Raketen aus den Silos herauszufahren und startklar zu machen, erfordert nach Aussage des Kaiserslauterner Informatik-Professors eine weitere Minute. Damit seien fünf Minuten allein für die Technik und den Apparat verbraucht. Jetzt stünden also noch drei Minuten zur Verfügung, in denen entschieden werden müsse, ob zurückgeschossen werde oder nicht. Empört sich Siekmann: "Mir ist völlig schleierhaft, wie dann noch die Verbündeten konsultiert werden sollen."

Heißer Draht ist nur ein Telex

Drei Minuten sind nach Ansicht von Militärexperten auch eine zu geringe Zeitspanne für den sogenannten "heißen Draht" zwischen Washington und Moskau, der in Wirklichkeit eine ganz normale Telex-Verbindung ist. In Krisen- oder Kriegszeiten stellt diese "Hot Line" den einzigen direkten Kontakt zwischen den nationalen Kommandobehörden beider Seiten dar. Allerdings sind die Antennenspiegel, so Tom Mangold, Autor der BBC-Sendung "Beyond deterrence", nicht einmal vor den Einwirkungen elektromagnetischer Impulse geschützt. Der tatsächliche Nutzen des "heißen Drahtes" wird von 0st und West generell angezweifelt.

Politiker ignorieren Risiko

Allerdings schließen auch Abgeordnete einen Atomkrieg aus Versehen nicht prinzipiell, sondern unter Verwendung der diplomatischen Floskeln "nahezu" "so gut wie" "praktisch" aus. Konstatiert Manfred Domke, Mitglied der Friedensinitiative von Mitarbeitern der Gesellschaft für Mathematik und Datenverarbeitung (GMD): "Von unseren Politikern wird das Risiko, das mit dem zunehmenden Einsatz von Mikroelektronik und Computern verbunden ist, nicht nur unterschätzt, sondern nahezu ignoriert. Domke weiter: "Im Gegensatz dazu gibt es genügend Beweise dafür, daß von den US-Militärs das Risiko der C3I-Systeme (Command Control Communication und Intelligence Systems) realistisch, dem Stand der Wissenschaft und Technik entsprechend, eingeschätzt wird."

Diese Ansicht dürfte auch bei der am 17. Januar in Stockholm begonnenen Konferenz über Vertrauensbildung und Abrüstung in Europa (KVAE) eine Rolle spielen. Dort soll der amerikanische Delegationschef James Goodbay nach Berichten der Süddeutschen Zeitung versuchen, Abmachungen mit den Sowjets zu treffen, die einen Krieg "aus einem (Anm.: technischen) Mißverständnis heraus" verhindern sollen.

Schließlich haben die Amerikaner erst in jüngster Zeit wieder erfahren müssen, wie anfällig hochentwickelte Technologie sein kann. So wurde ihre Raumfähre "Columbia" Ende letzten Jahres von einer ganzen Reihe von Computerpannen heimgesucht. Außer dem Feuer im Rumpf gab es einem Bericht der New York Times zufolge zwei Rechnerzusammenbrüche an Bord der Raumfähre, dazu fiel noch das Navigations- und Lagesteuerungssystem aus. Gleich nach der Landung am 8. Dezember versuchten die NASA-Ingenieure, in einem "Trouble-shooting"-Programm die Fehlerursachen zu lokalisieren. Die während des Fluges zusammengebrochenen Systeme wurden an den Hersteller IBM zur Prüfung zurückgeschickt. Als mutmaßliche Fehlerursache gilt: Winzige Metallpartikel, eines davon nur drei Hundertstelmillimeter im Durchmesser, hatten sich während des Fluges zwischen die elektronischen Bauteile der Rechner verirrt und dort Verwirrung gestiftet.

Aber nicht nur im All, sondern auch auf der Erde sorgen Computer immer wieder für Aufregung. Anfang dieses Jahres war ein Übermittlungsfehler bei der Installation eines computergestützten Katastrophen-Alarmsystems bei der Pennsylvania Emergency Management Agency (PEMA) in Harrisburg an einer Fernschreibermeldung schuld, die in 41 von 67 Landkreisen Polizei und Katastrophenschutz in Bewegung setzte. Die Botschaft an die verschreckten Beamten: "Das ist eine Warnung vor einem bevorstehenden Atomangriff. Bereiten Sie alle entsprechenden Schritte vor."

Blitzschnell reagierten die Verantwortlichen im Lehigh County: Feuersirenen warnten die Öffentlichkeit vor der drohenden Katastrophe. Fünf Minuten später erhielten alle Beteiligten die Nachricht, es handele sich um eine Falschmeldung. Der Pressechef von Pema, John Comey vor Journalisten: "Aus nicht bekannten Gründen wurde die für einen internen Testlauf vorgesehene Angriffswarnung an die Landkreise gesendet, die bereits mit dem neuen System online verbunden waren." Das System von AT&T wird übrigens Teil eines weltweiten Katastrophenalarmsystems sein.

Ebenso wie Bonner Politiker einen "Krieg aus Versehen" nach menschlichem Ermessen für nicht möglich halten, werten sie "launch-on-warning" (automatischer Abschuß der eigenen Raketen auf das Alarmsignal der Frühwarnsysteme) lediglich als Propaganda aus der Friedensbewegung. In der erwähnten Aufklärungsschrift des Verteidigungsministeriums steht zu lesen: "Einen automatischen Kernwaffeneinsatz nach Ansprechen der Warnsysteme - also einen Raketenstart allein auf die Meldung hin, feindliche Objekte seien im Anflug - gibt es nicht und wird es nicht geben."

Dagegen spricht die wiederholte Androhung sowjetischer Politiker, nach Stationierung der Pershing II ihren Raketenabschuß-Entscheidungsprozeß völlig zu automatisieren und den Menschen auszuschalten.

Militärexperten im Westen vertreten die Ansicht, daß sich die Sowjets von den extrem kurzen Flugzeiten der Pershing II bedroht fühlen müßten. Schließlich dauerte die Entdeckung eines NORAD-Fehlalarms in seiner hochtechnischen Umgebung in einem Fall bis zu sechs Minuten.

NEMPs zerstören Kommunikationssysteme

Dennoch - auch in den Vereinigten Staaten wird über den automatischen Abschuß diskutiert. Auf jeden Fall sind die Amerikaner nach den Worten von Luftwaffenchef Charles Gabriel in der Lage, einen sowjetischen Angriff bereits zu beantworten, wenn ihre Frühwarnsatelliten die feindlichen Raketen gerade erst geortet haben. Dieses "launch-on-warning" sei, so der General, unter den Bedingungen eines "Nuklearkrieges" getestet worden. Luftwaffenchef Gabriel äußerte indes Bedenken gegen "Launch-on-warning"-Konzepte, weil zu einem so frühen Zeitpunkt weder Ziel noch Umfang des Angriffes richtig eingeschätzt werden könnten.

Nach Meinung von Militärexperten gebe es für beide Blöcke - dennoch - einen Grund für die Umstellung auf "launch-on-warning": die Gefahr, ihre Kommunikations- und Frühwarnsysteme durch einen elektromagnetischen Impuls zu verlieren. Dieser würde sich aus der Gammastrahlung einer gezündeten Atombombe entwickeln.

Daß die Elektronik verrückt spielt, wenn starke elektromagnetische Felder entstehen, sagte bereits 1945 Enrico Fermi, einer der Väter der Kernspaltung, voraus. Fermis Aussage galt damals noch nicht den Auswirkungen auf Computer, sondern den Nachrichtenübermittlungssystemen und dem Rundfunk. Das Phänomen heißt NEMP (Nuelear Electro Magnetic Pulse). Die überaus starken Gammastrahlen, die bei einer Kernexplosion freigesetzt werden, lassen einen elektromagnetischen Impuls entstehen, der innerhalb von weniger als 100 Nanosekunden sein Maximum erreicht und nach einigen zehn Mikrosekunden abfällt.

Was in dieser kurzen Zeit an Energie ausgestrahlt wird, hat für die Elektronik verheerende Folgen. Deshalb versucht man, Satelliten, Geräte und Flugzeuge gegen diesen Impuls zu "härten". Der derzeitige Stand der Technik erlaubt aber weder Russen noch Amerikanern, sich auf die Schutzwirkungen hundertprozentig zu verlassen.

Blitzeinschlag löst Kettenreaktion aus

Aber nicht nur NEMPs zerstören elektronische Systeme, auch natürliche Erscheinungen wie Blitze können fatale Folgen nach sich ziehen. So berichtet die "Gesellschaft für Reaktorsicherheit" (GRS), die im Auftrag des Bundesministeriums alle besonderen Vorkommnisse in Kernkraftwerken auswertet, über einen schweren Zwischenfall im Atomkraftwerk Neckarwestheim. Dort hatte ein Blitzeinschlag in den Hauptnetzanschluß eine Kettenreaktion ausgelöst: Im Signalkabel sei eine Überspannung entstanden, heißt es in dem Bericht, dadurch wurden im Kraftwerk mehrere Elektronikarten für Meldeknüpfungen des Betriebssystems zerstört. Es habe eine "ungewollte Umschaltung des Generatorspannungsreglers von Automatik auf Hand" gegeben - über die sinkende Drehzahl der auslaufenden Hauptkühlmittelpumpe kam es zur Reaktorschnellabschaltung. Aus den Berichten der GRS geht hervor, daß trotz technischer Verbesserungen die Zahl der Störfälle nicht zurückgeht.

Nachdem das Bundesverteidigungsministerium ebenfalls das Problem "Störungen" unter die Lupe genommen hatte, kam es zu folgendem Resultat: "Fehler in einzelnen Systemen werden frühzeitig als Fehler oder Störung erkannt. Die Fehlerquellen werden beseitigt. Wiederholungen sind somit ausgeschlossen."

Bei möglichen Pannen im Computersystem denkt nach Meinung der Mitglieder der CPSR (Computer Professionals for Social Responsibilities) in Palo Alto, Kalifornien, fast jeder zunächst einmal an Hardwarefehler Dabei sehen die CPSR-Wissenschaftler die größte Gefahr im Auftreten unerwarteter technischer Krisensituationen, die nach menschlichem Ermessen nicht vorhersehbar sind. Hier liege die größte Gefahr einer möglichen Katastrophe.

Weitere Gefahren sieht Professor Joseph Weizenbaum, der am Massachusetts Institute of Technology (MIT) in Cambridge/Massachusetts

Computerwissenschaften unterrichtet, in der Undurchschaubarkeit der Systeme. Weizenbaum ist zwar der Meinung, daß man auf dem militärischen Sektor viel sorgfältiger als gemeinhin angenommen arbeitet, befürchtet aber, daß inzwischen niemand mehr die Systeme verstehen könnte. Besonders die komplexen Anwendungen bei NORAD oder dem International Communication System würden nicht korrigiert, sondern nur geflickt werden, und dieses Stückwerk vertiefe die Undurchschaubarkeit noch mehr. "Systeme sind wie lebendige Wesen", verdeutlicht der MIT-Experte, "von denen man annimmt, daß sie sich nach bestimmten Regeln verhalten, und man versucht, diese Regeln zu begreifen."

"Die Wahrheit ist", so Weizenbaum, daß sie zunehmend autonom werden und sich schließlich auf eine Weise verselbständigen, in der sie Katastrophen auslösen können."

Sorgen bereitet den Experten allerdings weniger die hochentwickelte Elektronik der Vereinigten Staaten als vielmehr die Situation der östlichen Seite. Oft wird die Befürchtung geäußert, daß die Frühwarnsysteme der Sowjets technologisch um Jahre hinter den US-Technologien hinterherhinken. "Vielleicht", so ein Tenor, "wäre es besser, die Amerikaner stellten den Russen ihre eigenen Frühwarnsysteme zur Verfügung, um den ,Krieg aus Versehen' von sowjetischer Seite aus zu verhindern."