Innere Sicherheit, Informationsschutz

Hackerangriff auf TV5Monde: Ein Weckruf für Deutschland

© lassedesignen - Fotolia

Von: Arne Schönbohm

Im Januar 2015, kurz nachdem interne Firmen-E-Mails und noch unveröffentlichte Filme von Sony Pictures durch Hacker an die Öffentlichkeit geraten waren, sendete das FBI eine Warnung vor Cyberangriffen auf internationalen Medienkonzernen an die Geheimdienste anderer Staaten. Zuvor fielen die Webseite der New York Times, das Twitter-Profil des Magazins Newsweek sowie die Kundendaten von Sky TV Hackern zum Opfer.

Offensichtlich wurde die Warnung des FBI nicht ernst genug genommen. Im April kam es zu dem bisher wohl eklatantesten Fall eines Cyberangriffs auf einem Medienkonzern. Der französische öffentlich-rechtliche Sender TV5Monde wurde von ISIS-Sympathisanten der Gruppe des „Cyber-Kalifats“ erfolgreich angegriffen. Diesmal kam es zu weit mehr als einem sogenannten Defacement, also einer Sabotage des Internetauftritts. Auf einem Schlag war auf den Sendern von TV5Monde, der in mehr als 200 Staaten und Regionen ausgestrahlt wird und wöchentlich etwa 35 Millionen Zuschauer hat, kein Bild mehr zu sehen. Die Hacker drängten hierbei so tief in die IT-Systeme ein, dass selbst Funkantennen von TV5Monde geschädigt wurden. Die französische Regierung versuchte schnell zu reagieren. Der französische Innenminister Bernard Cazeneuve, Außenminister Laurent Fabius und die Kultusministerin Fleur Pellerin eilten in die Büros von TV5Monde, um sich selbst ein Bild der Lage machen zu können. Die französische „Nationale Agentur für die Sicherheit von Informationssystemen“ (ANSSI) wurde sofort aktiviert. Cazeneuve kündigte den Aufbau von 500 neuen Planstellen zum Schutz der IT-Sicherheit an.

Sind Medien kritische Infrastrukturen?
Der Angriff auf TV5Monde sollte auch für Deutschland ein Weckruf sein, da ein ähnlicher Tathergang auch hierzulande nicht auszuschließen ist. Selbst Andreas Könen, Vizepräsident des Bundesamts für Sicherheit in der Informationstechnik (BSI), also der für die Cybersicherheit der Bundesrepublik zuständige Behörde, spricht von „Glück“, wenn es bei uns noch nicht zu einer dermaßen folgenreichen Attacke kam. Gleichzeitig teilte er mit, dass Medien aufgrund „ihrer Aufgabe, die Bevölkerung zu informieren, ein Teil der kritischen Infrastruktur“ und „eine wichtige Branche, die wir auch besser schützen müssen“ seien.

Der Staat entgegnet dem wachsenden Trend cyberkrimineller Aktivitäten mit einem „IT-Sicherheitsgesetz“. Dieses soll, u.a. durch eine Meldepflicht von „erheblichen IT-Sicherheitsvorfällen“ beim BSI und der Etablierung von IT-Sicherheitsstandards bei Betreibern kritischer Infrastrukturen nach dem „Stand der Technik“, die Lage der Cybersicherheit in Deutschland verbessern. Mit der momentan vorliegenden Fassung des Gesetzes wird dieses noble Ziel leider nicht erreicht werden können. Was unter einem „erheblichen“ Vorfall oder dem „Stand der Technik“ zu verstehen ist, wird im Gesetzesentwurf nicht erklärt. Genau so wenig, welche Informationen die Meldungen der Vorfälle enthalten sollen. Zudem fallen Medien (zumindest nicht explizit) nicht unter dem Katalog der zu schützenden kritischen Infrastrukturen.

Staat übernimmt nicht genug Verantwortung
Neben diesen Mängeln stellt die fehlende Einbindung staatlicher Infrastrukturen, die für das Funktionieren des Gemeinwesens implizit von kritisch wichtiger Bedeutung sind, das größte Defizit des Gesetzesvorhabens dar. Ein deutsches Pendant zu TV5Monde würde somit von den neuen Sicherheitsvorkehrungen nicht betroffen sein. Anstatt mit gutem Beispiel voranzugehen, nimmt sich der Staat aus seiner Verantwortung raus. Er überlässt das den Unternehmen allein ihrem Selbstschutz, anstatt ihnen wirklich Beistand zu leisten.

Dieses Gefühl wird auch dadurch gestärkt, dass allein jedes vierte Cyberdelikt durch die zuständigen Ämter strafrechtlich verfolgt wird. Für die Unternehmen besteht somit kein wirklicher Anreiz, Gesetzwidrigkeiten anzuzeigen, was auch deren hohe Dunkelziffer erklärt. Die neuesten Vorfälle in Bezug auf die Spionageaffäre des Bundesnachrichtendienstes sind in diesem Sinne für den Status der Vertrauenswürdigkeit der öffentlichen Behörden nicht besonders förderlich.

Zu geringe Dynamik bei Prävention
Während wir in Deutschland ein wenig praktikables und konfuses Gesetz diskutieren, schreitet die Digitalisierung und Vernetzung der Gesellschaft durch das Internet der Dinge und die Industrie 4.0 unaufhaltsam voran. Dies eröffnet Kriminellen eine größere Fläche für Angriffe aus dem Cyberraum. Wirtschaft und Politik sind dazu genötigt, mit dem rasanten Tempo der technologischen Veränderungen Schritt zu halten. Einerseits müssen Private ihren Schutz vor Cyberangriffen natürlich kontinuierlich ausbauen.

Andererseits, muss auch der Staat für eine sichere Umwelt sorgen, in der das Internet nicht zum rechtsfreien Raum wird. Dazu muss er sich als hoheitlicher und vertrauenswürdiger Garant der Cybersicherheit verstehen, gegen Cyberkriminelle strafrechtlich härter durchgreifen und Unternehmen wie Bürger näher zur Seite stehen. Cybersicherheit muss als gemeinsame Aufgabe betrachtet werden, die allein durch ein kooperatives Verhältnis zwischen öffentlichen und privaten Akteuren verbessert werden kann.

 

15.05.2015

© Alle Rechte vorbehalten.
consulting plus
Beratung GmbH
Girardetstraße 1-5
45131 Essen
Tel.: +49 201 27 90 40