Wie Hacker-Angriffe missbraucht werden

Gleich nach dem Hackerangriff auf den französischen Fernsehsender TV5 Monde sprach der Präsident des deutschen Verfassungsschutzes vom „elektronischen Dschihad“. Hans-Georg Maaßen erkennt eine „neue Qualität in der virtuellen Kriegsführung“ und einen „Cyberkrieg“. Wortungetüme, die keinerlei Bedeutung haben und nichts erklären, die aber zur Eskalation einer unsachlichen Debatte beitragen.

Die Hintergründe des Angriffs sind zwar noch unklar, aber ein Youtube-Video gibt Aufschluss darüber, was vermutlich vorgefallen ist: Bei einem Interview mit einem Angestellten des Senders waren im Hintergrund Passwörter für diverse Social-Media-Profile lesbar. Das Video entstand erst nach dem Vorfall, insofern war es nicht die Ursache für den Hackerangriff. Aber es macht klar, dass man es bei TV5 Monde mit der IT-Sicherheit wohl nicht sonderlich genau nimmt.

Sicherheitslücken ignoriert

Ähnliches hat sich vermutlich vor einigen Monaten zugetragen, als massenhaft interne Daten von Sony Pictures im Internet auftauchten. Den damaligen Angriff haben US-Behörden der nordkoreanischen Regierung in die Schuhe geschoben, diese Einschätzung wurde jedoch von vielen Fachleuten angezweifelt. Auch von Sony ist bekannt, dass man es dort mit der IT-Sicherheit nicht so genau nimmt. Der Konzern war in der Vergangenheit schon öfter Opfer von Hackerangriffen, gelernt hat er daraus wenig. Mehrere Wochen lang hat man etwa den Bericht eines privaten Sicherheitsforschers über eine Sicherheitslücke im Sony Playstation Network schlicht ignoriert.

Eigentlich sind es banale Geschichten. Konzerne, die ihre IT-Sicherheit vernachlässigen, werden Opfer von Hackerangriffen. Doch statt den Unternehmen einen Einsteigerkurs in IT-Sicherheit zu empfehlen, folgt auf derartige Vorfälle regelmäßig eine Debatte über schärfere Gesetze. Nach den Angriffen auf Sony hat der US-Senat ein neues Gesetz auf den Weg gebracht, das von Bürgerrechtlern als Überwachungsgesetz heftig kritisiert wird.

Schädliche Gesetze

Die Vergangenheit zeigt: Viele Gesetze schaden mehr als sie nützen. Häufig behindern sie legitime IT-Sicherheitsforschung. Vor einigen Jahren beschloss der Bundestag zum Beispiel ein Gesetz, das generell die Nutzung und Verbreitung von Hacker-Tools verboten hat. Das Problem: Dieselben Tools setzen Fachleute auch zum Testen und Absichern von IT-Systemen ein. Eine Entscheidung des Bundesverfassungsgerichts stellte glücklicherweise klar, dass der Einsatz derartiger Tools zu Forschungszwecken nicht unter das Gesetz fällt.

Sorgen macht IT-Experten auch eine von der EU auf den Weg gebrachte Änderung des Wassenaar-Abkommens. Das Abkommen dient eigentlich der Kontrolle von Waffenexporten, doch neuerdings fallen darunter auch bestimmte Softwareprodukte. Das Ziel ist es, den Export von Überwachungstechnologien in repressive Staaten zu unterbinden, doch auch hier ist der Gesetzgeber weit über das Ziel hinausgeschossen und gefährdet die Forschung.

Statt schärferer Gesetze sollten die Politiker die IT-Sicherheit wirklich verbessern. Dafür könnte einiges getan werden, zum Beispiel die Förderung von frei nutzbaren Verschlüsselungsmethoden. Doch von staatlichen Behörden ist nicht viel zu erwarten. Sie nutzen selbst gern Sicherheitslücken aus, um Personen zu überwachen – Stichwort Staatstrojaner. Sie haben also ein Interesse daran, dass IT-Systeme nicht allzu sicher werden.