Jahresbericht des Weisenrats für Cyber-Sicherheit 2020 - Prof. Dr. Norbert Pohlmann

Mehr Cyber-Sicherheit für die digitale Transformation

Warum wir nur gemeinsam die Gesellschaft gegen Angriffe aus dem Netz immunisieren können

Machen wir es Hackern zu einfach? Wie können wir unsere Daten vor ungewolltem Zugriff schützen? Welche Rolle kann Künstliche Intelligenz bei der Entwicklung einer wehrhaften Digitalwirtschaft spielen? Und warum brauchen smarte Städte einen besonderen Schutz?

Fragen wie diese werden in den ersten Reports des Weisenrates für Cyber-Sicherheit beantworten und ein Konzept zur Verbesserung der Resilienz unserer Wirtschaft und Gesellschaft gegen Attacken aus dem Netz aufgezeigt. Der Weisenrat für Cyber-Sicherheit besteht aus sechs WissenschaftlerInnen, die an ihren Lehrstühlen oder Instituten in München, Darmstadt, Gelsenkirchen, Göttingen, Bochum und Bonn oder an den Fraunhofer-Instituten für Angewandte und Integrierte Sicherheit (AISEC) und für Kommunikation, Informationsverarbeitung und Ergonomie (FKIE) zu den unterschiedlichen Facetten der Cyber-Sicherheit forschen.

Empfehlungen des Weisenrats für Cyber-Sicherheit

1. Technologie muss sich dem Menschen anpassen, um ihn zu entlasten und zu schützen.
   Wir sollten den Menschen nicht mehr als das schwächste Glied in der Cyber-Sicherheit betrachten. Bei Sicherheitsvorfällen dem Nutzer die Schuld zuzuweisen ist keine zielführende Strategie. Falls menschliche Fehler zu Sicherheitsproblemen führen, sollten wir die zugrunde liegenden Technologien kritisch prüfen. Denn wenn Menschen sich nicht an Sicherheitsregeln halten, liegt dies meist daran, dass es oft zeitraubend oder schwierig bis unmöglich ist, sie umzusetzen. Sicherheitsexperten versuchen seit Jahren, diesem Verhalten mit Belehrungen (Security Awareness) gegenzusteuern – vergeblich. Wir benötigen bessere technische Lösungen, die im Gebrauch einfach sind. Ziel muss es sein, die Technologie dem Menschen anzupassen, um ihn zu entlasten und zu schützen. Dies gilt nicht nur für Endnutzer, sondern insbesondere auch für technisch versierte Experten. Fehler, die Administratoren oder Entwickler verursachen, sind oft weitaus gravierender als die Fehler der Endnutzer. Deswegen müssen Systeme für die Experten so entworfen und implementiert werden, dass sie fehlervermeidend und fehlertolerant sind.
   
   
2. Hersteller müssen sich zu regelmäßigen Schwachstellentests und Sicherheitsupdates verpflichten.
   Hersteller müssen IT-Systeme und -Lösungen bei der Produkt- und Systemeinführung nicht nur einmalig auf Schwachstellen testen, sondern diese Tests kontinuierlich wiederholen. Tests sollten dabei technologisch breit aufgestellt sein. Bei Quellcodetests sollten statische und dynamische Methoden zum Einsatz kommen. Bei Systemtests müssen alle Komponenten berücksichtigt werden. Die Ergebnisse der Tests müssen transparent und überprüfbar sein. Hersteller müssen ihre Geräte, Dienste und Anwendungen über die komplette Lebenszeit mit Sicherheitsupdates versorgen.
   
   
3. Digitale Prozesse und Infrastrukturen müssen angriffsresilienter werden.
   Zusätzlich zu der Härtung von Systemen gegen Angriffe (siehe Empfehlung 2), sollten Systeme so gebaut und betrieben werden, dass sie in der Lage sind, kompromittierte Systemteile zu tolerieren. Sie müssen auch dann noch verlässlich arbeiten, wenn sie attackiert werden. Die Politik sollte für die Angriffsresilienz Rahmenvorgaben machen, welche Mindestsicherheitsstandards für Systeme festlegen, und sie sollte Anreizsysteme für Unternehmen schaffen, um diese Mindeststandards zu erfüllen. Die Politik muss ferner Rahmenbedingungen schaffen, sodass auch Unternehmen ohne Sicherheitsexpertise in die Lage versetzt werden, die Standards einzuhalten.
   
   
4. Technologische Souveränität muss erhöht und bewahrt werden.
   Die technologische Souveränität ist ein immer wichtiger werdender Faktor, weil in Zukunft in allen Branchen der Wertschöpfungsanteil von IT und Internet zunehmen wird. Um die Gestaltungsmöglichkeiten unserer Gesellschaft auszuschöpfen, müssen alle Stakeholder, also Hersteller und Anwender von IT-Technologie sowie Wissenschaft, Politik und Verwaltung aus diesem Bereich, gemeinsame Ziele definieren und umsetzen. Erforderlich ist ein gezielter Kompetenzausbau in Schlüsselbereichen, um mögliche Risiken, die durch Abhängigkeiten entstehen (Hersteller, Herkunftsland, Einsatz, Wechselwirkungen) beurteilen zu können. Für kritische Bereiche müssen wir alternative Schlüsseltechnologien entwickeln bzw. bestehende Technologien erweitern, um Abhängigkeiten zu reduzieren und den Einsatz vorhandener Technologien beherrschbar zu gestalten. Regulierungen müssen Vorgaben für den Einsatz von Technologien mit hohem Risikopotenzial für sicherheitskritische Bereiche machen. Es müssen Prüfverfahren und -techniken für eine kontinuierliche Zertifizierung geschaffen werden, um einen beherrschbaren Einsatz sicherheitskritischer Technologien zu ermöglichen. Open-Source-Software als strategisches Instrument sowie eine intensivere Beteiligung an der Entwicklung von internationalen Standards, um frühzeitig mitgestalten zu können, sind weitere wichtige Aspekte, die von der Politik angestoßen und für wichtige Bereiche umgesetzt werden müssen.
   
   
5. Digitale Infrastrukturen in smarten Städten müssen jederzeit verfügbar, verständlich und beherrschbar bleiben.
   Für digitale Infrastrukturen in smarten Städten müssen wir sicherstellen, dass sie jederzeit verfügbar, verständlich und beherrschbar bleiben. Krisen wie Cyber-Angriffe, Naturereignisse, menschliches und technisches Versagen sowie Gewalt und Terror gefährden den verlässlichen Betrieb von IT-Systemen. Es ist daher notwendig, dass man auch im Krisenfall und bei hohem Vernetzungsgrad einen Betrieb/Notbetrieb kritischer Infrastrukturen in den Sektoren Energie, Verkehr und Logistik, Gesundheit, Ernährung, Wasser, Finanz- und Versicherungswesen sowie Staat und Verwaltung garantieren kann. Ein systematisches Verständnis der Verwundbarkeit von IKT sowie wirksame Maßnahmen zur Erhöhung ihrer Resilienz sind dazu dringend erforderlich. Unsichere oder nicht beherrschbare IT-Systeme dürfen nicht Teil kritischer Infrastrukturen sein und müssen aus digital vernetzten Städten entfernt werden. Gleichzeitig muss eine demokratische Kontrolle über die Daten, die im öffentlichen Raum erhoben werden, gewährleistet sein. Digitalisierte Infrastrukturen in smarten Städten dürfen nicht in eine Überwachung und Kontrolle ihrer Bewohner als Normalzustand münden: Smarte Städte müssen die Rechte des Individuums auf Privatheit schützen.
   
   
6. KI-Systeme müssen transparent und zertifizierbar sein.
   Maschinelle Lernverfahren und Systeme der Künstlichen Intelligenz werden bereits heute in zahlreichen IT-Infrastrukturen als zentraler Baustein zur Analyse, Prognose und Steuerung eingesetzt. Die Vertrauenswürdigkeit derartiger Systeme ist für Unternehmen aller Branchen, aber auch für staatliche Institutionen von höchster Wichtigkeit. Unternehmerische Entscheidungen werden zunehmend auf Ergebnissen von KI-Systemen basieren. Es entsteht eine gefährliche Abhängigkeit, da die Ergebnisse von maschinellen Lernverfahren meist nicht nachvollziehbar sind und auch die Qualität der Daten, die zum Anlernen genutzt werden, für die Nutzer nicht prüfbar ist. Aufgrund ihres Einsatzes in einer Vielzahl sicherheitskritischer Bereiche werden verlässliche, transparente und zertifizierte KI-Systeme benötigt. Um resiliente KI-Produkte zu entwickeln, sind unterschiedliche Kritikalitäts- und Zertifizierungsstufen für KI-Algorithmen festzulegen. Dafür werden Prüfkataloge sowie technische Richtlinien benötigt. Um branchenspezifischen regulatorischen Anforderungen Rechnung zu tragen, sind zudem branchenspezifische Kataloge und technische Prüfverfahren erforderlich.
   
   
7. Langlebige Produkte müssen krypto-agil gestaltet werden.
   Kryptografische Verfahren, Schlüssellängen und Zufallszahlengeneratoren, die heute sicher sind, können morgen schon unsicher sein. Entwicklungen im Bereich Quantencomputing werden dazu führen, dass asymmetrische Verschlüsselungsverfahren wie RSA unsicher werden. Deshalb empfehlen wir für IT-Lösungen, die eine lange Lebenszeit haben können, ein kryptoagiles Design als Bestandteil eines Mindeststandards aufzunehmen. Das bedeutet, dass solche Lösungen die Möglichkeit bieten sollten, kryptografische Verfahren und Zufallszahlengeneratoren auszutauschen sowie Schlüssellängen zu erhöhen, ohne ihre eigentliche Funktion zu beeinträchtigen oder Hardware auszuwechseln. Die Fähigkeiten zur Evaluation und Analyse von Post-Quanten-Kryptoverfahren müssen weiter ausgebaut werden. Dies ist eine zentrale Voraussetzung für hochsichere Systeme. Bereits jetzt müssen Migrationsstrategien entwickelt und erprobt werden, die einen einfachen Übergang auf Post-Quanten-Kryptoverfahren ermöglichen.
   
   
8. Der Schutz der Demokratie muss online verstärkt werden.
   Erfundene und verfälschte Informationen sowie deren gezielte Platzierung in Online-Medien können die Wählermeinung und damit auch politische Entscheidungen beeinflussen. Wahlen sind hierbei nur eines der Missbrauchsziele. Auch der generelle Diskurs im digitalen Raum sowie der faire Umgang mit exponierten Gruppen wie Journalisten, Politikern, Aktivisten sowie mit Minderheiten, Migranten etc. sind in Gefahr. Der Schutz der Ausübung demokratischer Prinzipien in der digitalen Welt ist ein grundlegendes, aber auch ein vielschichtiges Problem. Für dessen komplexe Lösung bedarf es weiterer Anstrengungen. Hierzu ist eine gründlichere Problemanalyse unabdingbar. Nur so können wir die aktuell existierenden isolierten Analysen sowie die vereinzelt vorhandenen technischen Gegenmaßnahmen auf eine breitere Basis stellen. Für neue technische Lösungen, die dieses Problem eindämmen helfen, ist dies eine Grundvoraussetzung. Eine zentrale Rolle kommt hierbei der Berücksichtigung menschlichen Verhaltens und der Benutzbarkeit zu, insbesondere wenn eine enge Interaktion zwischen allen Stakeholdern erfolgt. Gleichzeitig fordern wir eine bessere Untersuchung der möglichen Auswirkungen von technischen Lösungsansätzen über deren rein technische Ebene hinaus und mit besonderem Fokus auf Rechtskonformität, Weiterentwicklung des rechtlichen Rahmens sowie den gesellschaftlichen Auswirkungen.