Sicherheit im Internet – was heißt das eigentlich?

6. Mai 2013

Bild: Andrea Danti – Shutterstock

Täglich werden 30.000 Schadprogramme entwickelt. Es kommt darauf an, die Risiken vernünftig zu managen. Bei richtiger Vorsorge sind bis zu 90 Prozent der Standard-Angriffe vermeidbar.

Von Dr. Göttrik Wewer
Aus der Kriminologie wissen wir, dass man zwischen dem subjektiven Sicherheitsgefühl der Menschen und der objektiven Sicherheitslage unterscheiden muss. Beide sind selten deckungsgleich. Dass die Lage schlimm ist, also Kriminalität weit verbreitet, aber die meisten Menschen sich dennoch sicher fühlen, ist kaum zu erwarten. In der Regel ist die Stimmung – also das Gefühl, Opfer einer Straftat werden zu können – schlechter als die Lage, also das tatsächliche Risiko, Opfer einer Straftat zu werden. Wenn objektive Sicherheit und subjektive Sicherheit zu weit auseinander klaffen, bekommen Regierungen ein Problem. Gefühle lassen sich nämlich nicht mit Statistiken bekämpfen.

Wenn man wissen will, wie sicher sich die Menschen im Internet fühlen, dann muss man sie befragen. Wenn man wissen will, wie sicher sie im Internet tat- sächlich sind, dann muss man die Fälle zählen, in denen sie geschädigt wurden, also Statistiken erstellen. Dazu gehören eine gewisse Systematik und bestimmte Kriterien, nach denen Fälle erfasst und zugeordnet werden. Wenn man das über längere Zeiträume macht, lassen sich Trends entdecken.

Statistiken müssen nicht vollständig sein. Dinge können übersehen, falsch eingeordnet und nicht erfasst werden. Dass es bei der Kriminalstatistik Grauzonen gibt und ein Dunkelfeld, weiß jeder, der sich damit schon einmal beschäftigt hat. Nicht jede Straftat wird zur Anzeige gebracht. Bei Mord ist das Dunkelfeld relativ klein, beim Schwarzfahren ziemlich groß. Diebstähle werden häufig nicht deshalb zur Anzeige gebracht, weil man hofft, die Täter zu finden, sondern weil Versicherungen das erwarten. Versicherungsbetrug wiederum soll längst Volkssport sein. Hingegen mündet nicht jeder verbale Disput auf unseren Straßen gleich in einer Schlägerei oder einer Anzeige.

Schlägereien sind im Internet schwierig; Verunglimpfungen, Verleumdungen und Beleidigungen jedoch leicht. Der Ton in manchen Ecken des Netzes ist grob und ziemlich unhöflich und ein „Shitstorm“ baut sich schnell auf. Darauf mit einer Anzeige zu reagieren, wäre in den meisten Fällen unklug. Nicht nur, weil man sich gern hinter Anonymität oder Pseudonymen versteckt. Obwohl es im Netz weit mehr Leute mitbekommen, wenn jemand beleidigt wird, als wenn sich zwei auf der Straße streiten, dürfte das Dunkelfeld bei solchen Vorfällen des- halb sehr groß sein. Das muss man bedenken, wenn man Statistiken zur Sicherheit im Internet betrachtet.

Man kann die Anzeigen zählen, die bei der Polizei eingehen, oder die Angriffe auf die Computer von Behörden, Unter- nehmen oder Privatleuten. Für bestimmte Unternehmen gibt es in bestimmten Fällen Meldepflichten bei Hacker-An- griffen, aber längst nicht für alle und erst recht nicht für die Bürger. Insofern dürfte das Dunkelfeld hier relativ groß sein.

Unternehmen sperren sich gegen eine Veröffentlichung von Angriffen aus dem Internet, um nicht zusätzlich zu dem vielleicht ohnehin eingetretenen Schaden auch noch einen Imageschaden zu erleiden. Kunden werden verunsichert, wenn sie hören, dass jemand versucht, in die Datenbestände einzudringen. Das alles spricht dafür, dass alle Zählungen der Angriffe auf Computer eher die Spitze des Eisbergs beschreiben und nicht ein vollständiges Lagebild.

Besondere Sorgen bereiten Staat und Wirtschaft dabei die Attacken auf kritische Infrastrukturen, die im schlimmsten Fall das Wirtschaften, Arbeiten und Leben lahm legen können. Um das möglichst zu verhindern, hat die Bundesregierung eine nationale Cyber-Sicherheits-Strategie entwickelt und eine Allianz Cyber-Sicherheit mit der Wirtschaft gegründet.

Nach Michael Hange, dem Präsidenten des Bundesamtes für die Sicherheit in der Informationstechnik (BSI), lässt sich Sicherheit im Netz heute kaum mehr realisieren – angesichts von täglich entwickelten 30.000 Schadprogrammen, Angriffen hoher Qualität und Intensität sowie fortschreitender Digitalisierung und Cyber-Spionage. Wenn sich die Risiken schon nicht ausschalten ließen, dann käme es besonders darauf an, sie vernünftig zu managen, sagte er auf dem Kongress „Informationssicherheit stärken – Vertrauen in die Zukunft schaffen“. Achtzig bis neunzig Prozent der Standard-Angriffe seien vermeidbar, wenn man entsprechende Vorsorge betreibe.

Nach der Polizeilichen Kriminalstatistik für 2012, die kürzlich vorgelegt worden ist, ist die Cyberkriminalität, also Straftaten, die unter Ausnutzung moderner Informations- und Kommunikationstechniken verübt werden, gegenüber dem Vorjahr wiederum gestiegen: um 7,5 Prozent auf 63.959 Fälle, „bei einem vermutlich erheblichen Dunkelfeld“.

Trotz des zu vermutenden Dunkelfeldes deuten die Zahlen darauf hin, dass bisher nur sehr wenige Menschen persönlich Opfer von Kriminellen im Internet geworden sind. Aber alle nehmen natürlich wahr, wenn Unternehmen Daten gestohlen oder Daten ungefragt weiter- gereicht werden. Wenn die Menschen gefragt werden, was ihnen im Internet besonders wichtig ist, dann rangiert „Sicherheit“ meist ganz oben, dicht gefolgt von „Datenschutz“ und „Datensicherheit“. Ihre Wünsche sagen aber nur bedingt etwas darüber aus, ob sie sich selbst sicher fühlen.

Besonders sicher wollen die Menschen sein, wenn es um das eigene Geld geht. So zählen für die Nutzer beim Online-Banking mit Abstand am meisten Sicherheit (96 Prozent) und Datenschutz (94 Prozent). Diese hohen Werte haben sich in den letzten Jahren kaum verändert und dürften auch künftig auf diesem Niveau bleiben. Das legt jedenfalls die aktuelle Studie „Online-Banking: Mit Sicherheit! Vertrauen und Sicherheitsbewusstsein bei Bankgeschäften im Internet“ nahe, die TNS Infratest für die Initiative D21 erstellt hat. Rund ein Viertel der Befragten meidet Online-Banking, weil man Angst vor Betrug hat.

Von denjenigen, die solche Angebote nutzen, fühlen sich hingegen achtzig Prozent sicher. Das mag auch damit zusammenhängen, dass nur ganz wenige, nämlich zwei Prozent, tatsächlich schon geschädigt worden sind. Und bei den meisten davon lag der Schaden unter 200 Euro. Risiken werden durchaus gesehen, aber man ist kaum bereit, für mehr Sicherheit zu zahlen, sondern erwartet, dass die Banken kostenlos für Sicherheit sorgen. Immer weniger schützen auch ihre eigenen Geräte durch geeignete Maßnahmen.

Bei den Gründen, das Internet nicht zu nutzen, stehen Datenschutzbedenken (67,5 Prozent) und Sicherheitsbedenken (59,1 Prozent) an erster und dritter Stelle, zeigt sich aber bei einigen (30,3 Prozent) auch eine diffuse Angst vor dem Internet.

Datenschutz und Datensicherheit reichen nicht aus, dass die Menschen sich sicher fühlen. Sie sind dafür eine notwendige, aber keine hinreichende Bedingung. Sonst müsste „Sicherheit“ kein eigen- ständiger Punkt in der Skala der Wünsche sein. Richtig sicher fühlen kann man sich im Internet erst dann, wenn man seine Rechte gegenüber denen, die sie verletzen, notfalls einklagen kann (Rechtssicherheit), wenn man den Provider wechseln und seine Daten jederzeit mitnehmen kann (Wahlfreiheit) und wenn man einen offenen Zugang hat, um Kompetenzen zu erwerben und Vertrauen auf- zubauen (soziale Sicherheit). So lange das in der virtuellen Welt nur eingeschränkt der Fall ist, dürfte „Sicherheit“ weiter ganz oben auf der Wunschliste bleiben.