Geplantes Bundesamt bei Experten umstritten

Technische Lösungen alleine ergeben noch keine Sicherheit

23.03.1990

BONN - Eine neue Behörde, mit der die Bundesregierung für die Sicherheit der Informationsgesellsehaft sorgen will, erhitzt die Gemüter. Daß das geplante Bundesamt dringend nötig wäre, bestreitet niemand, doch manche argwöhnen, daß es in Wahrheit nicht um die Sicherheit der Anwender, sondern in erster Linie um den Schutz des Staates vor der Bevölkerung geht. Eine Expertenanhörung in Bonn sollte jetzt Klarheit bringen.

Voraussichtlich am 1. Januar l991 wird das "Bundesamt für Sicherheit in der Informationstechnik (BSI)" seine Arbeit aufnehmen.

Laut Gesetzentwurf soll es sich um die Risiken kümmern, die ,.durch unrichtige, unbefugt gesteuerte, fehlende oder rechtsgutgefährdende Informationen" entstehen.

Hervorgehen wird das Amt durch eine .Abspaltung aus der bisherigen "Zentralstelle für Chiffrierwesen - ZfCh" (seit 1.8.89 "Zentralstelle für Sicherheit in der lnformationstechnik - ZSI"), einer Geheimdienstbehörde, die vornehmlich mit der Entzifferung von gegnerischen Nachrichten und der Entwicklung von Verschlüsselungssystemen für den Bundesnachrichtendienst befaßt war.

Hilfe bei Datenschutz und Lauschangriffen

Obwohl die Errichtung eines solchen Amtes allgemein begrüßt wird, stößt der Plan den noch auf scharfe Kritik Bei manchen weckt allein schon die Herkunft des neuen Bundesamtes aus dem "Mantel-und-Nebel"-Bereich Mißtrauen. Was die Kritiker vor allem aber stört, ist die schwammige, widersprüchliche und ausschließlich an bestimmten technischen Problemen ausgerichtete Aufgabendefinition .

Das BSI, so der Gesetzesentwurf (siehe Seite 41) soll den Bundesbeauftragten für den Datenschutz unterstützen. Zugleich aber soll es Polizei, Bundesanwaltschaft, Verfassungsschutz, Militärischem und Bundesgrenzschutz (der, wie erzählt wird, schon jetzt den gesamten Funkverkehr in der Bundesrepublik abhört) bei Fahndungen und Abhöraktionen zur Hand gehen. Ein gefährlicher Interessenskonflikt, wie die Kritiker meinen. Der Karlsruher Informatikprofessor Thomas Beth: "Solche Techniken, wie die entsprechende Auswertung von statistischen Datenbanken, dürfen nicht von den gleichen Leuten vorgeschlagen werden, die dann dem Datenschutzbeauftragten sagen sollen, daß das geht."

Wie der Konflikt gelöst werden soll, steht nicht in der Gesetzesvorlage. "Art und Umfang der Unterstützung richten sich nach dem jeweiligen Bedarf" heißt es lapidar. Falls die BSI-Hacker für den Datenschutzbeauftragten arbeiten, verspricht der Entwurf immerhin, seien sie "einer Einflußnahme durch den Bundesminister des Innern insoweit entzogen, als diese seine Unabhängigkeit beeinträchtigen könnte".

Die Unterstützung der staatlichen Organe ist jedoch nur ein Teil der künftigen BSI-Aktivitäten. Weitere Aufgaben des Bundesamtes sind die Untersuchung von Sicherheitsrisiken, die Entwicklung sicherheitsdienlicher Verfahren und Geräte, von Kriterien, Verfahren und Werkzeugen für die Prüfung und Bewertung der Sicherheit informationstechnischer Systeme, die Prüfung solcher Systeme und die Erteilung von Sicherheitszertifikaten, schließlich die Zulassung von Systemen für den Verschlußsachen-Bereich des Bundes und die Herstellung von Schlüsseldaten für diese Systeme.

Lauter nützliche Dinge, doch bei weitem zu wenig, meinen die Kritiker, zumindest gemessen an dem, was nötig wäre. Die Anhörung vor dem Bundestags Ausschuß für Forschung, Technologie und Technikfolgenabschätzung sollte deshalb Klarheit schaffen darüber, was wirklich gebraucht wird. Vorsichts- halber hatte die Regierungskoalition dem Ausschuß von vorneherein die Kompetenz abgesprochen, das Ob und Wie des BSI zu behandeln. Weil es dem Innenministerium unterstellt wird, gehe das nur den Innenausschuß etwas an. Das Thema kam trotzdem zur Sprache.

Am Ende überwogen die offenen Fragen. Klar wurde nur eines: Sicherheit, wie die Regierung sie sich vorstellt, ist nicht möglich. Denn das Hauptproblem, so die Experten, sind nicht Hacker, Viren oder Terroristen, das Problem sind die Systeme selbst und die Abhängigkeit der Gesellschaft von ihnen. "Wir können bestenfalls", dämpfte Beth zu großes Vertrauen in die Technik, "die Korrektheit eines Systems gegenüber den Spezifikationen nachprüfen, aber wir können niemals, aus logischer Sicht ist das völlig unmöglich, unerkannte, unerwartete Gefahren vorhersehend einkalkulieren. Jeder, der so etwas verspricht, ist ein Scharlatan ".

Selbst die Prüfung der Korrektheit sei eine Sisyphus-Arbeit, denn sie sei so aufwendig, daß die Systeme bis zum Ende des Verfahrens völlig veraltet seien. "Allein die Verifikation eines komplexen Betriebssystems", so Beth, würde Mannmonate in mehreren Zehnerpotenzen erfordern. Es würde wahrscheinlich die größten Rechenzentren, die wir im Moment haben, auf Jahre hin auslasten". Für die Verifizierung eines Systems wie MVS werden bis zu zwölf Jahre veranschlagt.

Die Gefahr besteht in der totalen Abhängigkeit

Einig waren sich die Sachverständigen, daß technische Maßnahmen die Sicherheit zwar erhöhen können, aber keineswegs ausreichen. Statt sich in isolierte Details zu verbohren, forderte Eckart Raubold von der Gesellschaft für Mathematik und Datenverarbeitung mehr in kybernetischen Systemen zu denken:"Welche Instanzen, Personen, Verantwortungsträger gruppieren sich um die technischen Systeme? Wer baut, betreibt, nutzt sie? Wer verdient daran, wer verantwortet was, wer trägt gegebenenfalls die Schuld, gibt es Regreßpflichten?

Dem Darmstädter Verfassungsrechtler Alexander Roßnagel (siehe Gastkommentar, Seite 8) ist selbst das noch zu wenig. Weil sich auch mit größtem Aufwand nicht ausschließen lasse, daß in einem komplexen System etwas schiefgeht, verlagere sich die Sicherheitsproblematik mit zunehmender Schadens- höhe immer mehr auf die Verringerung der Abhängigkeit von diesem System: auf die Suche nach Puffern im System, nach Alternativen, nach Ausweichlösungen.

Dazu stellt sich die Sicherheitsfrage je nach Anwendungsbereich anders. "Bei kommerziellen Anwendungen und bei Anwendungen in der öffentlichen Verwaltung", erläutert Raubold, "stehen die Nachweisbarkeit bestimmter Aktionen, die Rückverfolgbarkeit von Vorgängen und die Zweckbindung der Information im Rechner im Vordergrund." Hier gehe es vor allem darum, daß alles juristisch eindeutig, verbindlich und zuordenbar ist.

Im militärischen und geheimdienstlichen Bereich hingegen bestehe das Sicherheitsproblem primär darin, "daß nur Personen einer bestimmten Sicherheitsstufe an bestimmte Informationen oder Beeinflussungsmöglichkeiten des Systems herankommen dürfen; es geht darum, sichere Schutzbarrieren gegen den Zugriff auf Informationen zu erzeugen". Obwohl sich die unterschiedlichen Anforderungen, wie er meint, im technischen Kern stark überlappen, sind ihre Implikationen doch grundverschieden: Die zivilen Sicherheitsprobleme verlangen nach einer offenen Welt mit öffentlichen und internationalen Standards, mit übergreifenden und einheitlichen Konzepten; die militärisch-geheimdienstlichen erfordern eine geschlossene Welt, aus der möglichst wenig nach außen dringt.

Geheimniskrämerei und Sabotage von Standards

Weil die Bundesregierung mit der BSI offenbar ausschließlich das letztere im Auge hat, wiesen die Sachverständigen eindringlich auf die negativen Folgen eines ähnlichen Ansatzes während der Reagan-Administration in den USA hin. Dort hatte die Konzentration sämtlicher Chiffrier-Angelegenheiten bei der National Security Agency (NSA) zu Geheimniskrämerei und Sabotage dringend nötiger internationaler Standardisierungen geführt. Denn was den Benutzern die Vertraulichkeit ihrer Daten garantiert - und damit das für einen kommerziellen Erfolg der Informationstechnik nötige Vertrauen - erschwert gleichzeitig Abhöraktionen von Polizei und Geheimdiensten. Wie ein Mitarbeiter eines einschlägig aktiven Unternehmens erzählt, wird auch heute noch kein leistungsfähiger Chiffrieralgorithmus zur Implementierung freigegeben, für den nicht eine "Trap" spezifiziert ist, über die er jederzeit geknackt werden könne. Für den allgemeinen Einsatz sind solche Systeme kaum zu gebrauchen.

Ein unhaltbarer Zustand, findet Beth: " Sicherheitstechnik gehört in den Bereich der öffentlichen Forschung und nicht zur Geheimforschung. Es ist ein Gebiet von allgemeinem gesellschaftlichen Interesse, das nur dadurch zu der Qualität geführt werden kann, der es bedarf wenn es als öffentliche Forschung betrieben wird."

Für ihn ist hier die Politik gefordert: "Wir haben die Notwendigkeit, zu standardisierten Verfahren zu kommen. Wenn das aus Staatsschutzinteressen nicht möglich sein sollte, muß ich das als Beamter akzeptieren, aber dann möchte ich bitteschön eine politische Entscheidung, die vom Parlament dieses Landes vetreten wird", und nicht die einer einzelnen Behörde.

Es sei deshalb "überaus wichtig, daß die Bundesrepublik Deutschland mit dieser Gesetzesvorlage die einmalige Chance ergreift, eine zivile Behörde zu schaffen, deren Arbeit genau wie die des Gesundheitsamtes oder des Statistischen Bundesamtes, der Öffentlichkeit verpflichtet ist und die alle ihre Ergebnisse öffentlich darstellt".

Strikte Trennung der Aufgaben gefordert

Daß es so kommt, erscheint, zumindest zum jetzigen Zeitpunkt, äußerst zweifelhaft. Wenn aus dem Verhalten der Parlamentarier - zwei der fünf CDU/CSU-Vetreter kamen zwei Stunden zu spät, zwei weitere lasen während der Sachverständigen-Statements demonstrativ Zeitung - und aus ihrer Sachkenntnis - der "Elektromagnetische Puls" bei der Explosion einer Atombombe, mit dem Wissenschaftler und Militärs sich seit gut 15 Jahren herumschlagen, schien den meisten ziemlich neu - Schlüsse gezogen werden dürfen, stehen die Chancen für eine sachlich fundierte und sachdienliche Entscheidung nicht gut.

Die vernünftigste Lösung wäre es, darin stimmten die meisten der Sachverständigen überein, die Aufgaben zu trennen: in ein ziviles Bundesamt, das für die Probleme der Allgemeinheit zuständig ist, und ein zweites, das sich der Sorgen von Polizei und Geheimdiensten annimmt.

Die ZSI könnte dann bleiben was sie ist, und eine völlig neu geschaffene BSI könnte sich unbelastet und ohne Loyalitätskonflikte auf ihre zivilen Aufgaben konzentrieren. Nur so könnten die anstehenden Probleme wirklich angegangen und gelöst werden

Und dann könnte auch in Erfüllung gehen, was Otto Leiberich, der derzeitige ZSI- und künftige BSI-Chef, verspricht: "Meine Behörde wird in Zukunft für Sicherheit sorgen. Mögen sich andere den Kopf zerbrechen, wie sie mit dem Paragraph 100 der Strafprozeßordnung und dem G10 zurecht kommen."

Diener zweier Herren

Die Fragen, um die es in Wahrheit ging, wurden bei der Anhörung nicht gestellt - sie waren gar nicht erst zugelassen. Zum Teil wurden sie dennoch beantwortet. Gefragt hatte man nach technischen Problemen und technischen Lösungen, nach Grenzen, nach wissenschaftlichem Handlungsbedarf. Nichts wissen wollte man davon, wie das BSI auszusehen hätte, das Wirtschaft und Wissenschaft, Hersteller wie Anwender "draußen im Lande" dringend benötigen.

Das Vorgehen erinnert fatal an frühere Zeiten, als der Politik zum Thema "Sichere Energieversorgung" nur noch Maßnahmen zur Sicherung von Atomanlagen gegen Demonstranten einfielen. Über Jahre hin verschwendete man keinen Gedanken und keine Mark auf die Entwicklung alternativer Energieformen - eine Kurzsichtigkeit, die sich heute rächt. Die finanziellen und sozialen Kosten informationspolitischer Fehlentwicklungen könnten die der energiepolitischen leicht übersteigen.

Nach wie vor scheint bei vielen Politikern ein naiver Kinderglaube an die Allmacht und Unfehlbarkeit der Technik zu herrschen: Wenn etwas schiefgeht, dann nur deshalb, weil irgendwelche Schurken an irgendwelchen Knöpfen gedreht oder irgendwelche Tasten gedrückt haben. Systemische Probleme, Gefahren, die aus der Vernetztheit,

unserer Gesellschaft entstehen, aus den geringen Reaktionszeiten, schnellen Rückkoppelungen und großen wechselseitigen Abhängigkeiten, das alles gibt es nicht im Bild der Regierung von der Informationsverarbeitung.

Aber vielleicht geht es, wie die Grünen. argwöhnen, gar nicht allgemein um die Sicherheit der Anwender vor Schäden durch den Einsatz von Informationstechnik, sondern ausschließlich um die ganz besondere Sicherheit eines ganz besonderen Anwenders: die des Staates und bestimmter "staatstragender" Organe vor der Bevölkerung und um bessere Möglichkeiten ihrer Überwachung.

Nach den Erfahrungen der letzten Jahre und im Kontext weiterer aktueller Gesetzesinitiativen steht zu befürchten, daß bald ein Punkt erreicht ist an dem der Bundesbeauftragte für Datenschutz überflüssig wird: Weil es nichts mehr zu schützen gibt. Denn wer wollte im Ernst glauben, daß die BSI-Spezialisten ihm helfen werden, Datenschutz-Verletzungen aufzudecken, an denen sie selbst beteiligt waren. Alle Umstände legen in der Tat den Verdacht nahe, daß hier ein Spezialistenkorps zur möglichst sachkundigen Aushebung des Datenschutzes etabliert werden soll. Daß der Bundesbeauftragte selbst die Regierungspläne unterstützt, beruhigt kein bißchen. Im Gegenteil. (gs)