Vernetzte Gesellschaft. Vernetzte Bedrohungen

Wie uns die künstliche Intelligenz herausfordert

Joachim Jakobs

• Publisher: Cividale Verlag
• Year: 2015
• eBook ISBN: 9783945219157
• Edition: 1
• Topic: Technology & Engineering
• Subtopic: Electrical Engineering & Telecommunications
• Index: Technology & Engineering

Die Möglichkeiten zum Speichern, Transportieren und Auswerten von Daten wachsen rasant. Sie wecken den Wunsch, Freizeit und Arbeiten - das ganze Leben - vollständig virtuell abzubilden. Doch solche Wünsche verlangen von den Beteiligten besondere Fähigkeiten: Ein sich immer neu erfindendes Kriminalitätsfeld zielt auf die so abgebildeten Daten. Für jede personenbezogene Information wird gezahlt. Schon jetzt können wir das Dreieck aus Möglichkeiten, Wünschen und Fähigkeiten nicht mehr stabilisieren. Höchste Zeit, dass wir uns gegen die Bedrohungen wappnen, die unsere zunehmend vernetzte Gesellschaft hervorbringt, mahnt der Journalist und Datenschutzaktivist Joachim Jakobs."Vernetzte Gesellschaft - vernetzte Bedrohungen bietet eine breite Grundlage für eine längst überfällige öffentliche Diskussion zum Schutz der Bürger vor den Auswirkungen derzeit kaum noch beherrschbarer Big-Data-Anwendungen."Barbara Broers, Leiterin ERFA-Kreis Nord der Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD), Jork"Jeder, der digital am Weltgeschehen teilnimmt, sollte dieses Buch lesen, […]."Professor Dr. Hans-Peter Schwintowski, Juristische Fakultät der Humboldt-Universität zu Berlin"Ein bemerkenswertes und lesenswertes Buch, in dem umfassend die Möglichkeiten und Risiken der technischen Vernetzung dargestellt werden."Werner Hülsmann, Beiratsmitglied des Forums InformatikerInnen für Frieden und gesellschaftliche Verantwortung e. V. (FIfF) "Hochkompetent in der technischen, rechtlichen und gesellschaftlichen Analyse und gleichzeitig spannend wie ein Krimi […]."Dr. iur. Oliver Raabe, Direktor des Forschungszentrums Informatik (FZI) am Karlsruher Institut für Technologie (KIT)

1 Ein Appell: Finger weg von Dingen, die wir nicht verstehen!

Im Januar 2015 wurde bekannt, dass ein Doppelagent die Namen von 3.500 deutschen Spitzeln an die USA weitergegeben haben soll. [1] Seit 2012 soll er 218 Dokumente auf einen USB-Speicher gezogen und für insgesamt 25.000 Euro verkauft haben. [2] Der eigentliche Skandal besteht aber nicht in dem Vorgang an sich, sondern darin, dass eine Hilfskraft aus der Registratur überhaupt an streng geheime Unterlagen herankommen, sie aus dem Gebäude des Geheimdienstes herausschaffen und problemlos verkaufen kann. Und dass sie dabei zwei Jahre lang nicht entdeckt wird! Wozu ist dieser „Geheimdienst“ BND eigentlich nütze, wenn er nicht einmal geeignete technische und organisatorische Maßnahmen für die eigene Sicherheit treffen kann? Und wieso kommen die „Sicherheits“-Behörden dem Knaben nicht selbst auf die Spur, sondern benötigen „Amtshilfe“ vom Verfassungsschutz? [3] Warum bettelt dieser wiederum erst bei den US-Behörden – ausgerechnet! –, um den geltungssüchtigen Möchtegern-Spion zu enttarnen? [4] Die Bundesregierung ist nicht in der Lage, ihre eigenen Spitzel zu schützen. Wenn sie nicht einmal die schützen kann, die die Bürger schützen sollen, wie will sie da sichere Konzepte für 80 Millionen Deutsche erstellen und diese noch dazu von ebenjener Sicherheit überzeugen?

Dieser Einzelfall ist ein beliebiges Beispiel endloser Kombinationsmöglichkeiten aus Angreifern, Angriffsmitteln/-wegen und Angegriffenen. Zu den Angreifern gehören Geheimdienste, die organisierte Datenkriminalität, Industriespione oder auch Terroristen. Geklaut werden analoge Daten auf Papier und digitale Informationen auf elektronischen Speichern. Den Zugang verschaffen sich die Angreifer wahlweise physisch (per Einbruchdiebstahl) oder übers Internet – mal mit, mal ohne die Unterstützung von „Innentätern“. Zu den Angegriffenen zählen nicht nur Behörden, sondern auch die Wirtschaft – Großkonzerne, der Mittelstand und die freien Berufe. Letztere sind besonders lukrativ, weil sie keine Sicherheitsabteilungen unterhalten, stattdessen aber über sehr viele Daten von Menschen verfügen, denen man mitunter auch Geld, Macht und Einfluss unterstellen darf.

Mit anderen Worten: Die Angegriffenen sind Menschen, die mit ihren eigenen personenbezogenen Daten umgehen oder eben – auf gesetzlicher beziehungsweise vertraglicher Basis – mit denen ihrer Mitmenschen. Wobei die gesetzliche oder vertragliche „Basis“ durchaus dünn sein kann. Dafür kann es ausreichen, die Spracherkennung eines iPhones zu benutzen, denn der Hersteller behält sich in seinem iOS-Softwarelizenzvertrag vor: „Wenn Sie Siri oder die Diktierfunktionen verwenden, wird alles, was Sie sagen, aufgezeichnet und an Apple gesendet, um Ihre Worte in Text umzusetzen und Ihre Anfragen zu verarbeiten.” [5] Interessant wird’s auf den Servern von Apple: Wozu nutzt der Konzern die Daten seiner Kunden oder mit wem teilt er sie? [6] Auch die Käufer dieser Daten und die Strafverfolgungsbehörden zählen zu den Angegriffenen, weil sie – häufig im besten Glauben – Daten und Informationen erwerben oder sammeln; nicht immer wissen sie allerdings, wie sie die Informationen so speichern, dass kein angreifender Dritter an sie herankommt.

Der Gesetzgeber hätte die Chance, diesen Angegriffenen präzise vorzuschreiben, was sie zum Schutz ihrer Klientel zu tun und zu lassen haben. Da er das aber – womöglich mangels Kompetenz – viel zu wenig tut, sind Staatsanwälte und Gerichte gefordert, den Schaden anschließend juristisch aufzuarbeiten. Angesichts eines verbreiteten Bildungsmangels geht auch das gelegentlich schief, wie sich in folgendem Fall zeigte: Nach der Behauptung eines Anwalts, tausende Personen hätten Urheberrechte seines Mandanten verletzt, entschied der Richter des Landgerichts Köln, dem Anwalt die Daten dieser Personen zu überlassen. Dadurch konnte der Anwalt die Betroffenen (kostenpflichtig!) abmahnen. Anschließend stellte sich heraus, dass der Richter den Unterschied zwischen „streamen“ und „Peer-to-Peer“ nicht kannte. [7] Ein Vierteljahr später wurden die Abmahnungen des Landgerichts Köln vom Amtsgericht Potsdam für unzulässig erklärt. [8] Ein schwacher Trost für diejenigen, die aus Angst die Abmahngebühr gezahlt haben, und für die, deren Daten jetzt – lebenslänglich! – „auf dem Markt“ sind.

Zu den Angegriffenen zählte in diesem Fall auch der Richter – selbst wenn er kein Opfer, sondern der ahnungslose Helfershelfer war. Nur diejenigen, die Daten ohne gesetzlichen oder vertraglichen Anspruch stehlen, werden in diesem Buch als „Angreifer“ bezeichnet. Somit war auch der Anwalt ein Angreifer, indem er den Richter hinters Licht führte. Geheimdienste sind einerseits Angreifer, können andererseits aber – wie im Fall des BND-Doppelagenten – zu Angegriffenen werden. Zu den Angreifern zählen aus systematischen Gründen auch Menschen, die ihre eigene Wohnung elektronisch angreifen, um herauszufinden, ob sie denn tatsächlich sicher ist.

Der oben geschilderte Vorfall beim BND dokumentiert unseren ignoranten Umgang mit einer täglich zunehmenden Bedrohung. Immer mehr Informationen können auf immer kleinerem Raum gespeichert und immer schneller übertragen werden. Jetzt aber drohen die Möglichkeiten zu explodieren: Nehmen wir an, die Kundendatenbank eines Unternehmens benötigt 50 Gigabyte Speicherplatz, so passt sie auf einen daumennagelgroßen Chip, den es bereits im unteren zweistelligen Euro-Bereich gibt. [9] Mit Hilfe des Mobilfunkstandards LTE lässt sich diese Datenmenge innerhalb von 24 Stunden ans andere Ende der Welt übertragen; im künftigen 5G-Netz reduziert sich diese Zeit auf 43 Sekunden. [10]

Im Moment erhalten Alltagsgegenstände (Auto, Heizung, Kühlschrank, Fernseher etc.) eine eigene „Intelligenz“ – im kommenden Internet der Dinge (IPv6) verfügt jeder der 80 Millionen deutschen Bundesbürger rein rechnerisch über 62,5 Trilliarden (also 62.500.000.000.000.000.000.000) feste IP-Adressen. Somit stünden für jede der 100 Billionen Körperzellen eines jeden Bundesbürgers 625 Millionen IP-Adressen zur Verfügung. [11] Diese Leistungsfähigkeit ermöglicht es, Politik, Wirtschaft und Gesellschaft in beliebiger Detailtiefe zu vernetzen.

„Smart“ soll sie sein, die Zukunft. Möglichkeiten und Wünsche sollten im Einklang stehen mit den Fähigkeiten derer, die sich an der Informationsgesellschaft beteiligen, insbesondere wenn sie dabei im Auftrag Dritter handeln: Entscheider, IT-Spezialisten und Nutzer. Doch die täglichen Wasserstandsmeldungen von Leuten, die irgendetwas tun, wovon sie bislang offenbar noch nicht so viel verstanden haben, lassen auf eine gewisse Differenz zwischen „Soll“ und „Ist“ schließen. Diese Differenz wird sich parallel zur zunehmenden technischen Leistungsfähigkeit vergrößern. Und damit wächst die Bedrohung: Angelsächsische Geheimdienste wollen das Internet „kolonialisieren“, das jedenfalls behauptet das Fachmagazin Heise Online unter Berufung auf die Snowden-Dokumente. Zur Verfolgung dieses Ziels soll im Projekt Hacienda das Internet komplett länderweise gescannt werden. Schon 2009 wurde das „Durchpflügen“ von 27 Ländern abgeschlossen. Die Dienste wollen auf diese Weise nicht nur vollständige Informationen darüber, welches System gerade wo am Netz hängt; sie wollen außerdem auch wissen, welche Schwächen sich zum Angriff ausnutzen lassen. Heise Online betont: „Grundsätzlich ist jedes Endgerät im Netz ein Zielsystem für Übernahmeversuche durch die Geheimdienste.“ [12]

Mit Hilfe ihres Systems „Turbine“ können die Dienste diese Geräte infizieren. [13] Die Inhalte von Texten, gesprochener Sprache, Bildern, Handschriften und Videos lassen sich anschließend maschinell erkennen und die beteiligten Personen können anhand ihrer biometrischen Merkmale identifiziert werden. Die „Beute“ aus einem Raubzug lässt sich kombinieren mit der aus beliebig vielen anderen.

Fündig werden die Angreifer etwa bei den Kunden von SAP: Kaum ein DAX-Konzern kommt ohne die Software der Walldorfer aus – für Funktionen wie Controlling oder Personalwesen. Zwei Dutzend Branchenanwendungen steigern die Produktivität in Wirtschaft und Verwaltung. Künftig werden aber auch Gebäude, Heizungen oder Fahrzeuge vernetzt, verspricht SAP. Diese „Dinge“ bieten sich Spionen und Saboteuren an. Und so debattieren Experten derzeit, ob sich ein ganzes Land mit Hilfe eines „Generalschlüssels“ von SAP lahmlegen ließe – wobei „SAP“ ausgetauscht werden kann, etwa durch „Windows“. Für Innentäter mit den Fähigkeiten von Edward Snowden wäre das Ganze sicherlich ein Kinderspiel.

Die US-Bundespolizei FBI meint, sie werde den Cyberkrieg „nicht gewinnen“. [14] Die Angreifer scheinen schneller zu lernen als die Angegriffenen und könnten ähnliche Schäden verursachen wie am 11. September 2001. Wir haben es offenbar mit einer vernetzten Bedrohung zu tun. Daher sind vernetzte Antworten gefordert – nicht unbedingt von denen, die über Geld, Macht und/oder Einfluss verfügen. Aber diese Personen und Institutionen sollten dafür sorgen, dass das Gespräch in Gang kommt – etwa zur Frage, wie die 4.482 Seiten „IT-Grundschutz“ vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Millionen Unternehmen, Behörden und Institutionen in unserem Land implementiert werden können.

Tatsächlich kommen die Maßnahmen nur schleppend in Gang. Ein Verband ist beispielsweise stolz auf die 2.000 Teilnehmer seines Projekts „[m]IT Sicherheit“ – in einem Jahr. [15] Bei 30 Millionen Arbeitnehmern hierzulande ist das allerdings nur ein Tropfen auf den heißen Stein. Und ob auch nur eine dieser 2.000 Personen in der Lage wäre, den Europäischen Computerführerschein ECDL zu erhalten, oder bei ihrem Arbeitgeber ein Projekt für ein Sicherheits- [16] oder ein Notfallkonzept [17] angeschoben und erfolgreich abgeschlossen hat, ist fraglich.

Eine der Ursachen dieses Erfolgsmangels liegt sicherlich darin, dass sich die Maßnahmen für den Mittelstand gegenseitig kannibalisieren. [18] Hinzu kommen Angebote für Hoteliers [19], Handwerker [20] und natürlich Ärzte [21]. Die Kassenärztliche Vereinigung Rheinland-Pfalz etwa bot 2014 vier Termine an, bei denen den Ärzten Datenschutz-Informationshäppchen im Viertelstundentakt geboten wurden. Journalisten waren bei diesen Veranstaltungen ausdrücklich unerwünscht.

Eine weitere Ursache besteht in der künstlichen Trennung der natürlichen Vernetzung – und es wird auch noch nach Bundesländern separiert! Der Höhepunkt des Aufklärungs-Aktionismus ist aber folgender: Der Deutschland sicher im Netz e. V. will Anwälte und Steuerberater dazu bringen, die Sensibilität ihrer Klienten zu erhöhen. [22] Und das, obwohl es keinerlei Hinweise darauf gibt, dass die (Steuer-)Juristen über besondere datenschutztechnische Fähigkeiten verfügen.

Das Klein-Klein führt dazu, dass die Medien nicht über die Maßnahmen berichten. Das Argument der Macher: „Wenn wir diese eine Veranstaltung vorstellen, wollen fünf andere auch genannt werden.“ Die Debatte über Fähigkeiten und Verantwortung der Handelnden bleibt aus. Der umworbene Mittelstand nimmt das Angebot nicht einmal zur Kenntnis und die Veranstaltungen werden kaum besucht. Das Ergebnis des Gewurschtels dokumentierte eine Pressemeldung Ende Mai 2014 folgendermaßen: „Nach einer aktuellen Umfrage von Deutschland sicher im Netz (DsiN) führen nur 28 Prozent der Unternehmen regelmäßige Schulungen für Mitarbeiter durch. Damit ist dieser Wert seit 2011 unverändert, obwohl die Digitalisierung des geschäftlichen Alltags im selben Zeitraum zugelegt hat.“ [23] Andere formulieren ihre Erkenntnis knackiger: „Mittelständler sind stark bedroht und schlecht gerüstet.“ [24]

Wir haben keine Wahl: Wir sind gezwungen, unkonventionelle Wege zu gehen, um ein angemessenes Maß an Sicherheit zu erhalten. Jeder einzelne Teilnehmer der Informationsgesellschaft benötigt ein minimales Verständnis seiner Verantwortung für sich selbst und für seine Mitmenschen. Wenn man zum Beispiel Zweifel hat, ob man die Prozesse im Griff hat, die beim elektronischen Abwickeln der Bankgeschäfte ablaufen, sollte man seine Überweisungen besser wieder zur Bank tragen.

Zudem benötigen Millionen von Unternehmen Sicherheits- und Notfallkonzepte. Diese sollten immer auch einen Plan B enthalten, falls die Elektronik mal auf unbestimmte Zeit ausfällt. Und als Gesellschaft müssen wir darüber debattieren, welche Risiken durch die Digitalisierung des öffentlichen Lebens entstehen. So hat der niederländische Innenminister seinen Landsleuten nach einem Sicherheitsvorfall vor Jahren den Gebrauch von Papier und Stift statt der Elektronik empfohlen. [25] Solche Ratschläge könnten uns auch blühen – seit knapp zehn Jahren „doktert“ Deutschland an der Digitalisierung seines Gesundheitswesens herum. Am Ende soll nur noch eine elektronische Patientenakte zwischen Hausarzt, Facharzt und Krankenhaus übers Internet ausgetauscht werden. Der Arzt und Informatiker Ralph Heydenbluth misstraut dem Konzept; seine Befürchtung beschreibt Heise Online so: „Anstelle eines Systems, in dem der Patient Herr seiner Daten bleibe, werde ein System installiert, in dem Daten herrenlos im Internet abgefragt werden können.“ [26]

Bundesgesundheitsminister Hermann Gröhe können solche Warnungen nicht beeindrucken, er will den Aufbau einer IT-Infrastruktur gesetzlich beschleunigen. [27] Der Minister ist offenbar bereit, größte Risiken für Deutschland und seine Bürger einzugehen. Es wirkt, als wolle er das Land regelrecht ans Messer liefern. Ich wage zu bezweifeln, dass er sich auch nur im Ansatz mit den betreffenden Risiken auseinandergesetzt hat. Das halte ich für grob fahrlässig. Insbesondere nach dem NSA-Skandal stünde es ihm stattdessen gut an, einen Gang zurückzuschalten und die Voraussetzungen für die vollständige Digitalisierung des Gesundheitswesens zu schaffen. Das Gleiche gilt für die Verkehrstelematik und die Energiewirtschaft. Solange die Beteiligten nicht verstehen, was sie tun, gleicht die Digitalisierung in der vorgesehenen Dimension dem russischen Roulette. Das bedeutet bis auf Weiteres: Finger weg!

2 Unsere technischen Möglichkeiten

Im Jahr 1941 stellte der Bauingenieur Konrad Zuse die Z3 vor, den ersten voll funktionsfähigen Digitalrechner weltweit. [28] Seither hat sich die Fähigkeit der Technik zur Verarbeitung von Daten permanent verbessert. Bereits 1965 bemerkte Gordon Moore, einer der Gründer des US-amerikanischen Halbleiterherstellers Intel, dass sich die Anzahl der Schaltkreise auf einem Computer alle 18 bis 24 Monate verdoppelt. [29] Dieses Moore’sche Gesetz hat bis heute Bestand – und wird wohl noch eine Weile halten: 2003 erwartete der Harvard-Absolvent Professor Michio Kaku das Ende der Leistungssteigerung „in 20 Jahren“ [30], 2012 meinte der Stanford-Wissenschaftler Suhas Kumar, dass sie uns noch „30 bis 40 Jahre“ [31] begleiten könnte. Mit der Leistungssteigerung geht eine beeindruckende Miniaturisierung einher: Ein iPhone 5 von 2013 soll nach Angaben der US-Weltraumbehörde NASA beispielsweise über 240.000 Mal so viel Rechenkapazität verfügen wie die US-Raumsonde Voyager. [32] Daher lohnt es, zu überlegen, was das Ergebnis dieser Entwicklung bis heute ist und wo sie in Zukunft hinführt. In diesem Kapitel soll gezeigt werden, was technisch möglich ist.

Grundlagen der Informationssicherheit

Von Beginn der Informationsverarbeitung an war Sicherheit wichtig. Bereits in der Antike verschlüsselte Cäsar seine Befehle an die Truppen, um zu vermeiden, dass der Gegner seine Strategie ausforschen konnte. Heute zählen die Authentizität, die Integrität, die Vertraulichkeit und die Verfügbarkeit zu den fundamentalen Grundlagen der Informationssicherheit. [33]

Bei der Authentizität einer Information geht es darum, ob diese Information tatsächlich vom angeblichen Sender stammt. Darauf muss der Empfänger vertrauen können. Genauso muss sichergestellt sein, dass zum Beispiel das Signal zum Bremsen im „intelligenten“ Auto tatsächlich von der eigenen Bremse stammt – und nicht von einer fremden Bremse oder einem Gerät, das nur vorgibt, die tatsächliche Bremse zu sein.

Die Integrität einer Nachricht besagt, dass die enthaltene Information nach dem Versand nicht manipuliert wurde. Sonst bekäme der Empfänger etwas ganz anderes zu lesen als das, was der Sender zuvor geschrieben hat. Analog muss das Auto seine Fahrt so verlangsamen, wie zuvor gebremst wurde – es darf zu keine...

Table of contents

• Cover
• Titel
• Der Autor
• Impressum
• Inhalt
• Vorwort
• 1 Ein Appell: Finger weg von Dingen, die wir nicht verstehen!
• 2 Unsere technischen Möglichkeiten
• 3 Möglichkeiten verursachen Wünsche
• 4 Unsere (Un-)Fähigkeiten – Angegriffene im Belagerungszustand
• 5 Fähigkeiten der Angreifer
• 6 Schutzmöglichkeiten
• 7 Ausblick
• Danksagung
• Endnoten