{"id":4128,"date":"2011-11-29T17:09:04","date_gmt":"2011-11-29T16:09:04","guid":{"rendered":"http:\/\/blog.die-linke.de\/digitalelinke\/?p=4128"},"modified":"2011-11-29T17:37:09","modified_gmt":"2011-11-29T16:37:09","slug":"it-experten-fordern-disclosure-pflichten-fur-unternehmen","status":"publish","type":"post","link":"https:\/\/blog.die-linke.de\/digitalelinke\/it-experten-fordern-disclosure-pflichten-fur-unternehmen\/","title":{"rendered":"IT-Experten fordern Disclosure-Pflichten f\u00fcr Unternehmen"},"content":{"rendered":"

Mehr IT-Sicherheit ist m\u00f6glich, aber sie kostet Geld. Das sparen sich die Unternehmen gerne, so lange niemand davon erf\u00e4hrt, was bei ihnen in Sachen Sicherheit alles schiefgeht. Dies war eines von vielen interessanten Ergebnissen des \u00f6ffentlichen Expertengespr\u00e4chs<\/a> zum Thema \u201eSicherheit im Netz\u201c, das die im Rahmen der Enquetekommission \u201eInternet und digitale Gesellschaft\u201c arbeitende Projektgruppe \u201eZugang, Struktur und Sicherheit\u201c gestern im Deutschen Bundestag veranstaltet hat. Sechs Experten diskutierten mit den Parlamentariern und Sachverst\u00e4ndigen \u00fcber angebliche und tats\u00e4chliche Bedrohungen f\u00fcr B\u00fcrger, Unternehmen und staatliche Einrichtungen im Internet.<\/p>\n

Jochen Schiller vom Institute of Computer Science der FU Berlin<\/a> wies darauf hin, dass die Fakten zum Thema IT-Sicherheit bekannt seien, aber nicht beherzigt w\u00fcrden. Dies untermauerte der von der LINKEN als Experte benannte IT-Security Analyst Thorsten Schr\u00f6der<\/a> mit Berichten aus seiner eigenen Erfahrung. Als externer IT-Sicherheitspr\u00fcfer finde er sich immer wieder in der Situation, seine Pr\u00fcfergebnisse gegen\u00fcber den Unternehmen verteidigen zu m\u00fcssen. Diese g\u00e4ben Fehler oft nicht zu, sondern versuchten im Gegenteil, sie zu vertuschen. Teilweise seien den Verantwortlichen aber auch die H\u00e4nde gebunden, weil Softwarehersteller mit dem Verlust der Produktgarantie drohten, falls Sicherheitspatches installiert w\u00fcrden. Dies sei ihm beispielsweise bei einem gro\u00dfen Energieversorger begegnet, erz\u00e4hlte Schr\u00f6der. Andreas K\u00f6nen vom Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/a> pl\u00e4dierte in diesem Zusammenhang f\u00fcr eine bessere Ausbildung der IT-Sicherheitsbeauftragten. Schr\u00f6der hielt dem entgegen, das Problem mit IT-Beauftragten, die im Unternehmen selbst arbeiten, sei eher, dass diese kein Geld hereinbr\u00e4chten, das Unternehmen aber finanzielle Ressourcen kosteten. Insofern h\u00e4tten sie strukturell einen schlechten Stand.<\/p>\n

Diskutiert wurde, ob man Unternehmen Informationspflichten auferlegen, sie also verpflichten sollte, im Falle eines Problems mit der Datensicherheit die betroffenen Kunden unverz\u00fcglich zu informieren. Dirk Heckmann von der Forschungsstelle f\u00fcr IT-Recht und Netzpolitik<\/a> bef\u00fcrwortete dies ausdr\u00fccklich. \u201eIch m\u00f6chte mich nicht blamieren, weil das bei mir passiert ist\u201c, d\u00fcrfe nicht der einzige Grund sein, der gegen eine solche Regelung spreche. Sicherheitsforscher Sandro Gaycken<\/a> von der FU Berlin\u00a0pflichtete bei. Eine \u201eDisclosure\u201c-Pflicht sei das Einzige, wovor die Unternehmen wirklich Angst h\u00e4tten, so Gaycken.<\/p>\n

Offensichtlich wurde jedoch auch, dass man mit Informationspflichten allein nicht alle Probleme l\u00f6sen kann. Mirko Manske vom Bundeskriminalamt<\/a> wies darauf hin, dass viele Sicherheitsprobleme entst\u00fcnden, weil Unternehmen Geld sparen wollten. So h\u00e4tten die Banken das Onlinebanking nicht etwa eingef\u00fchrt, weil es ein besonders sicheres System sei, sondern um Filialen schlie\u00dfen zu k\u00f6nnen. Es sei gut m\u00f6glich, dass die \u00f6ffentliche Verwaltung diesem Beispiel folgen und den B\u00fcrgerkontakt zunehmend auf unsichere Kan\u00e4le verlagern werde. Es sei auch schon vorgekommen, dass Kriminelle die per Elsterformular \u00fcbermittelten Steuerdaten abgefangen h\u00e4tten.<\/p>\n

Kosteneinsparungen gingen stets zu Lasten der Sicherheit, best\u00e4tigte IT Security Analyst Schr\u00f6der. Dies sei umso bedenklicher als die Kosten f\u00fcr die digitalen Angriffswerkzeuge immer geringer w\u00fcrden. Ein Ger\u00e4t zum Abfangen von auf Handys verschickte mTANs sei heute f\u00fcr gerade mal 400 Euro zu haben.<\/p>\n

Die Binsenweisheit, dass es eine hundertprozentige Sicherheit nicht geben kann, erfuhr gegen Ende der Diskussion noch einmal eine ganz neue Dimension. Sicherheitsforscher Sandro Gaycken wies darauf hin, dass Kriminelle es zunehmend darauf anlegten, bereits die Entwicklungsabteilungen der Hard- und Softwarehersteller zu infiltrieren, um \u201efr\u00fch in den Produkten drin zu sein\u201c. Viele technische Verfahren seien schon deshalb nicht vertrauensw\u00fcrdig, weil der Gro\u00dfteil der in Deutschland eingesetzten Hardware und Software aus den USA und aus China stamme. Die Integrit\u00e4t solcher Produkte sei f\u00fcr deutsche Nutzer letztlich nicht zu kontrollieren \u2013 in den USA sei die Beteiligung der Geheimdienste an der Entwicklung sogar gesetzlich legitimiert.<\/p>\n

Angesichts der hohen \u00f6ffentlichen Aufmerksamkeit, die das Thema Cyberwar in den letzten Monaten erfahren hat, ist zu begr\u00fc\u00dfen, dass die gestrige Expertenrunde sich nicht auf die boulevardtr\u00e4chtigsten Themen eingeschossen, sondern fundiert und sachbezogen diskutiert hat. Ob die Politik die von den Experten aufgezeigten L\u00f6sungsans\u00e4tze tats\u00e4chlich aufgreifen wird, bleibt jetzt abzuwarten.<\/p>\n

Tweet<\/a><\/div>","protected":false},"excerpt":{"rendered":"

Mehr IT-Sicherheit ist m\u00f6glich, aber sie kostet Geld. Das sparen sich die Unternehmen gerne, so lange niemand davon erf\u00e4hrt, was bei ihnen in Sachen Sicherheit alles schiefgeht. Dies war eines von vielen interessanten Ergebnissen des \u00f6ffentlichen Expertengespr\u00e4chs zum Thema \u201eSicherheit im Netz\u201c, das die im Rahmen der Enquetekommission \u201eInternet und digitale Gesellschaft\u201c arbeitende Projektgruppe \u201eZugang, […]<\/p>\n","protected":false},"author":16,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[70,142,64,149],"tags":[280,219,279],"class_list":["post-4128","post","type-post","status-publish","format-standard","hentry","category-datenschutz","category-enquete","category-netzpolitik","category-veranstaltungen","tag-cybercrime","tag-cybersecurity","tag-it-sicherheit"],"_links":{"self":[{"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/posts\/4128","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/users\/16"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/comments?post=4128"}],"version-history":[{"count":13,"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/posts\/4128\/revisions"}],"predecessor-version":[{"id":4141,"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/posts\/4128\/revisions\/4141"}],"wp:attachment":[{"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/media?parent=4128"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/categories?post=4128"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.die-linke.de\/digitalelinke\/wp-json\/wp\/v2\/tags?post=4128"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}