Internet und Partisanenkrieg aus dem Keller

9. Mai 2016

Bild: sunsinger – Shutterstock

Er sieht Gefahren. Dennoch ist der Experte überzeugt: Das Positive am Netz wird vermutlich immer überwiegen. Dr. Karsten Nohl im Interview zu Fragen um Hacking, Cyberterrorismus und das Internet der Dinge.

Karsten Nohl gehört zu den bekanntesten Kryptografen unserer Zeit. Zu seinen Forschungsgebieten zählen GSM-Sicherheit, RFID-Sicherheit und der Schutz der Privatsphäre. Seit 2010 ist er Forschungsleiter und Geschäftsführer der Berliner Security Research Labs. Sein Blick nach vorn kann nicht nur froh stimmen.

Wir haben 2016 – braucht das Internet neue Gesetze, eine moralische Instanz?

Dr. Karsten Nohl: Als Hacker habe ich über die letzten Jahre gelernt, dass das Internet sich seine eigene Moral gibt und dass es Gesetze grundsätzlich umgeht. Insoweit brauchen wir informiertere Nutzer. Das Internet wird ein Gemisch aus Gut und Böse bleiben, wobei vermutlich das Positive immer überwiegen wird. Aber auf die bösen Seiten muss man geschult werden. Das heißt: Wir müssen uns alle einzeln darauf einstellen, vom Internet aus angegriffen zu werden, müssen verstehen, wie solche Angriffe ablaufen würden, und müssen darauf reagieren.

Was sind erste Schritte für eine solche Reaktion?

Wir sollten wichtige Daten weniger weit streuen, weniger auf E-Mails reagieren, nach denen wir nicht gefragt haben, und sicherere Passwörter verwenden. Alles im Grunde sehr einfache Schritte, die uns insgesamt sehr viel sicherer machen würden, ohne dass wir auf den Komfort der modernen Technik verzichten müssen.

Wie weit ist der Staat gefordert?

Es kann nicht sein, dass der Anspruch an den Staat ist, Bürger vor dem Internet zu schützen. Das kann kein einzelner Staat erreichen und würde, wenn überhaupt, die Innovationsfähigkeit einschränken. Die Möglichkeiten der Hacker allerdings nicht.

Stichwort Hacker – gibt es noch irgendetwas, was nicht zu hacken ist?

Vermutlich nicht. Im Grunde ist alles hackbar, was heute einen Computer hat. Das sind unsere Telefone, das sind unsere kritischen Infrastrukturen, Logistik, Wasserversorgung, Stromversorgung. Das sind aber auch zunehmend Flugzeuge und Autos und andere technische Systeme, die um Computer erweitert werden.

Dabei geht Hacking doch noch weit über die Technik hinaus …

Richtig. Das Hacken ist das Umgehen von Sicherheitsmaßnahmen, und das kann auch eine physische Maßnahme wie das Social Engineering sein, also das Beeinflussen von Menschen. Hacken passiert immer dann, wenn einer eine Sicherheitsmaßnahme aufbaut und ein anderer einen Weg drum herum findet.

Was wäre ein denkbarer Worst Case?

Hacking kann in unserem Leben im Worst Case alles zunichtemachen, die komplette Infrastruktur von Gesellschaften lahmlegen und auch noch die Menschen beeinflussen. Das wird als Schreckensszenario schon seit vielen Jahren diskutiert, ist aber zum Glück noch nie vorgekommen.

Also sind die technischen Infrastrukturen doch irgendwie vor Hacking geschützt?

Dass der Worst Case sich noch nie ereignet hat, weist vermutlich nicht unbedingt darauf hin, dass unsere technischen Infrastrukturen sehr gut vor Hacking geschützt sind. Ich glaube eher, dass niemand sie wirklich fundamental hacken will. Niemand hat Interesse daran, uns vom Strom, vom Wasser oder von Lebensmitteln abzuschneiden.

Wo steht Deutschland in einem internationalen Sicherheits-Ranking?

Schwierig zu sagen. Ich glaube, von den Schutzfähigkeiten her ist Deutschland schlecht aufgestellt. Wir haben wenig aktive Cyberkompetenz.

Was bedeutet das präzise?

Das heißt, wir bereiten uns nicht darauf vor, andere Länder anzugreifen, was ja sehr gut ist. Aber die gleiche Kompetenz wäre nötig, um sich zu verteidigen.

Andere Länder – allen voran sicher die USA, aber auch China, Russland, jetzt der Iran – investieren sehr viel mehr in diesen Wettlauf zu den schnellsten und besten Cyberwaffen. Deutschland – als kriegsmäßig eher zurückhaltendes Land – ist da hinterher.

Stichwort Cyberkrieg. Sind wir, ist die Welt dagegen gerüstet?

Schockierend wenig. Die Welt hat sich auf den Cyberkrieg oder Cyberterrorismus, wie es häufig genannt wird, bisher kaum vorbereitet. Unsere Infrastrukturen werden immer mal wieder von Amateuren gehackt. Die machen das meist gutmütig und erklären den Betreibern anschließend, wie man erkannte Schwachstellen beseitigt. Aber wenn es selbst Amateure schaffen, dann schafft es selbstverständlich auch eine staatliche Organisation. Und solche gibt es mittlerweile in fast jedem Staat.

Wen muss man sich als Kämpfer in einem Cyberkrieg vorstellen?

Das sind Hacker, die in irgendeinem Keller in Peking, Moskau oder auch Berlin sitzen und von dort staatliche Aufträge ausführen.

Zum Beispiel könnten sie dann in einem echten Kriegsfall die Infrastruktur eines anderen Landes zerstören. Es geht dann wirklich vom Effekt her Richtung Flächenbombardements. Man schadet Gesellschaften und nicht nur Armeen. Und das haben wir auch in der konventionellen Kriegsführung, zumindest in Europa, lange nicht gesehen.

Ließen sich solche Angriffe nachweisen?

Das Schlimme an einem Cyberkrieg wäre, dass die Nachweisbarkeit der Taten schwierig bis unmöglich wird. Im Internet kann sich jeder sehr schnell anonymisieren.
Das Internet lädt also zu so etwas wie einem Partisanenkrieg ein. Das ist das Szenario, das derzeit viel diskutiert wird. Und in fast allen Diskussionen kommt raus: Wir wären davor nicht geschützt.

Wo lagen nach Ihrer Überzeugung die Anfänge in diesem Cyberkrieg?

Angefangen haben die Amerikaner mit der virtuellen Kriegsführung im Schlag gegen das iranische Atomprogramm. Aber selbstverständlich haben die Iranis mittlerweile auch aufgerüstet und jedes andere Land gleich mit. Das heißt, es stehen Cyberarmeen bereit. Doch zum Glück wurden die noch nie großflächig eingesetzt.

Computerwurm Stuxnet: 2010 sorgte er für Störungen im iranischen Atomprogramm. (Bild: Borna_Mirahmadian – Shutterstock)

Das „Internet der Dinge“ – was wird es uns bringen?

Das Internet der Dinge beschreibt ganz verschiedene Entwicklungen, die alle darauf hinwirken, dass das Internet mit der echten Welt verwächst. Vor allem dadurch, dass Sensoren aufgestellt werden, die Daten über die echte Welt – Temperaturmessungen, Bewegungsmessungen und in der Zukunft viel mehr Kamerabilder und so was alles – ins Internet bringen und die dort analysiert werden. Im zweiten Schritt wirken Aktoren wieder auf die echte Welt ein. Das Internet erfährt mehr und mehr über die Welt und wirkt mehr und mehr auf die Welt ein.

Fingerdruck: Hausautomation per Tablet, das Internet der Dinge macht‘s möglich. (Bild: Alexander Kirch – Shutterstock)

Was waren die Anfänge dieser Entwicklung?

Das hat mit unseren Telefonen angefangen: Das Internet weiß plötzlich immer, wo wir sind und was wir machen. Das wird aber bei den Telefonen nicht aufhören. Sensoren werden sich bald auch in der Kleidung finden, werden sich bald in allen anderen Elektroniken finden, werden teilweise als Sensoren einfach ausgestreut, um dem Internet mehr Einblick in die echte Welt zu geben.

Viele sehen darin mehr Kontrolle. Wo bleibt das Positive?

Ein großes Versprechen des Internets der Dinge ist es, alles in der Welt optimal zu arrangieren. Das wird nicht überall klappen, aber an vielen Stellen ist es vorstellbar. Zum Beispiel Stromverbrauch und Stromerzeugung perfekt aufeinander abzustimmen. Oder Medikamente perfekt auf den jeweiligen Körper, dem sie verabreicht werden, einzustellen. Oder Bewässerungssysteme perfekt auf das Ökosystem einzustellen, das bewässert wird. All das ist algorithmisch sehr leicht möglich, aber heute fehlt noch die Datengrundlage.