IT-Sicherheit und das Offenhalten von Sicherheitslücken

Auch in dem aktuellen Bericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur Lage der IT-Sicherheit in Deutschland 2021 [I] wird die Gefahr durch Sicherheitslücken mehrmals betont, das Offenhalten durch Behörden und Nachrichtendienste aber offenbar nicht thematisiert.

Eines der bekanntesten Beispiele für Probleme, die aus dem Offenhalten von Sicherheitslücken entstehen können, ist der Fall um „EternalBlue“. EternalBlue ist ein Exploit – Code, mit dem Sicherheitslücken in Software ausgenutzt werden können – im Betriebssystem Windows, der jahrelang vom US-amerikanischen Auslandsgeheimdienst, der NSA, verwendet wurde [II]. Im April 2017 veröffentlichte die Hackergruppe „Shadow Brokers“, die seit 2016 Exploits und Hacking-Werkzeuge von einer wahrscheinlich der NSA unterstellten Gruppe veröffentlicht hatte, unter anderem Details zu EternalBlue. Die Sicherheitslücke wurde in den folgenden Monaten von der Ransomware WannaCry und der Malware NotPetya ausgenutzt [III]. Der Schaden, den die beiden Programme anrichteten, war groß. Die NSA hatte die betroffene Schwachstelle zwar vor der Veröffentlichung durch die Shadow Broker an Microsoft gemeldet – und Microsoft hatte sie auch behoben. Zum Zeitpunkt der Angriffe waren viele Systeme aber noch nicht aktualisiert und daher angreifbar.

Trotzdem ist unbestritten, dass Strafverfolgungsbehörden Möglichkeiten brauchen, auch digital effektiv zu ermitteln. Wie das gewährleistet werden kann, ist aber umstritten. Welchen Nutzen hat die zunehmende Ausweitung digitaler Kompetenzen von Polizei und Geheimdiensten, wie in den letzten Jahren beispielsweise durch das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) [IV] oder den Entwurf zur Änderung des BND-Gesetzes [V] geschehen? Das ist unklar, auch aufgrund der fehlenden – obwohl eigentlich beschlossenen – Evaluierung des ersten IT-Sicherheitsgesetzes. Oder reichen die gesetzlichen Kompetenzen bereits aus und das Augenmerk sollte viel mehr auf eine korrekte und kompetente Nutzung dieser Möglichkeiten liegen – gegebenenfalls durch mehr und besser geschultes Personal?

Umstritten ist auch, welche Kompetenzen verschiedene Behörden haben sollten. Sollte jede Behörde intern über die Verwendung von Sicherheitslücken entscheiden dürfen? Sollte es eine zentrale Behörde mit dieser Kompetenz geben – gegebenenfalls eine unabhängige Instanz, die über diese Fälle entscheidet? Und welche Rolle sollte das BSI bei alledem spielen?

Die Redaktion des SMC hat den Experten folgende Fragen gestellt:

1. Inwiefern können durch das Offenhalten von Sicherheitslücken Gefahren entstehen? Gibt es Beispiele dafür?

2. Wie beurteilen Sie die Abwägung zwischen Interessen der Behörden und Nachrichtendienste (Offenhalten und Nutzen von Sicherheitslücken) auf der einen Seite und das Interesse an verbesserter IT-Sicherheit (Melden und Schließen eben dieser Sicherheitslücken) auf der anderen Seite?

3. Wie kann eine sinnvolle Regelung zum Umgang von Behörden und Nachrichtendiensten mit Sicherheitslücken aussehen?

4. Wie beurteilen Sie die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI)? Ist das BSI ein „zahnloser Tiger“? Inwiefern ist es problematisch, dass das BSI nicht unabhängig ist, sondern eine Behörde des Innenministeriums? Wie kann das BSI am besten eine sinnvolle Rolle einnehmen, sollte es zum Beispiel weisungsunabhängig werden?

5. Wie ist das Offenhalten und Nutzen von Sicherheitslücken durch Behörden und Nachrichtendienste momentan gesetzlich geregelt?