[ziesell]

Brantner, Notz, Hartmann und Lindholz: Warum Huawei Schuld an Cisco Webex und Taurus haben muss

Ein deutscher General scheint mit der sicheren Nutzung von Cisco Webex überfordert. Für deutsche Politiker ist die Lösung ein Verbot chinesischer 5G-Technologie. Wie bitte?


Ein IMHO von Achim Sawall

Nach der Taurus-Abhöraffäre fordern führende Ampelpolitiker und ein Vertreter der Union ein entschlossenes Vorgehen gegen Huawei-Technik im 5G-Netz. Eine wichtige Konsequenz aus der Taurus-Affäre sei "eine harte Linie gegen Huawei". Dieses Urteil kam von der grünen Wirtschaftsstaatssekretärin Franziska Brantner, dem Geheimdienstkontrolleur Konstantin von Notz (ebenfalls Grüne), dem SPD-Innenpolitiker Sebastian Hartmann und Unions-Fraktionsvize Andrea Lindholz.

Bei der Taurus-Affäre war es offenbar russischen Spionen gelungen, eine Videokonferenz deutscher Generäle, die über das Webex-System des US-Technologiekonzerns Cisco geführt wurde, mitzuschneiden und zu veröffentlichen. Möglich ist auch, dass jemand bei einem regulären Teilnehmer im Hintergrund saß, eine Wanze im Raum remote bedient wurde oder ein Trojaner auf dem Smartphone eines der Teilnehmer lief. Brigadegeneral Frank Gräfe nahm an der Konferenz offenbar aus seinem Hotelzimmer in Singapur teil. In dem Gespräch ging es darum, ob die Bundesregierung Taurus-Marschflugkörper an die Ukraine liefern sollte.

Der deutsche Verteidigungsminister Boris Pistorius (SPD) sprach von einem Anwendungsfehler durch einen der Generäle. Eine Person habe sich nicht über eine geschlossene Verbindung eingewählt.

Eine sinnvolle Frage könnte in diesem Zusammenhang sein: Wieso nutzt die Bundeswehr ein Videokonferenzsystem einer Firma, die nachweislich in Spionageskandale verstrickt war und vor der das US-amerikanische Common Sense Privacy Program im Rahmen seiner Privacy Evaluation warnt?

Staatssekretärin Brantner zieht allerdings andere Schlüsse: "Mit zunehmenden Cyberattacken sehen wir, wie zentral eine sichere digitale Infrastruktur ist." Dann der überraschende Sprung aus dem Taurus-Kontext: "Jeden Tag, den wir abwarten, macht uns verwundbarer. Deshalb gilt es, als Bundesregierung zu einer Entscheidung im Umgang mit Anbietern wie Huawei zu kommen und unser 5G-Netz vor autoritären Einflüssen zu schützen."

Es fehlt an kausaler Logik und grundlegendem IT-Wissen

Nun hat die Taurus-Abhöraffäre mit dem 5G-Netz aber wenig zu tun. Denn laut praktischen Erfahrungen ist es völlig egal, wo eine Komponente herkommt – wenn sie unter Sicherheitsgesichtspunkten schlecht gemacht ist und falsch bedient wird, sind unautorisierte Zugriffe möglich. Von sehr offen diktatorischen bis weniger diktatorischen und bürgerlich-demokratischen Herkunftsstaaten oder einfach nur von Cyberkriminellen.

Ein Beispiel: Die NSA baute in ein Produkt des US-Herstellers Juniper eine Backdoor ein, die dann Hacker eines anderen Staats ausgenutzt haben. US-Senator Ron Wyden erklärte im Jahr 2020: "Backdoors sind eine Bedrohung für die nationale Sicherheit." Es sei nur eine Frage der Zeit, bis sie von ausländischen Hackern oder Kriminellen ausgenutzt würden.

Ein weiteres Beispiel: Eine russische Hackergruppe implementiert Schadcode in der Software der US-Firma Solarwinds, wodurch Tausende Firmen und auch das Pentagon, das US-Außenministerium und die Nasa gehackt wurden.

Fremdsteuerung des Netzes durch einen Drittstaat

Genutzt haben alle eine US-Software, die für Brantner wahrscheinlich "frei von autoritären Einflüssen" ist, weswegen man nicht hätte verwundbar sein dürfen. Nur blöd, dass man es doch war. Die Gleichung, dass das, was aus den USA oder aus Europa kommt, immer vertrauenswürdig ist, und was aus China kommt, immer schmutzig, erweist sich offenbar als fraglich.

Ex-BSI-Chef Arne Schönbohm hatte versucht zu erklären, dass man aus der Herkunft einer Technologie nicht darauf schließen könne, ob sie sicher ist: "Es hilft doch nichts, wenn ich einen europäischen Hersteller favorisieren würde, der so ein schwaches Sicherheitsniveau hat, dass eine Fremdsteuerung des Netzes durch einen Drittstaat erfolgen kann. Das ist genau wie im Lebensmittelhandel. Wir können doch nicht sagen: Weil der Käse aus dem Allgäu kommt, kann er mehr Bakterien haben als der Käse aus Frankreich. Wir müssen für alle ein gleiches Sicherheitsniveau erreichen."

Der Chaos Computer Club formulierte es zuvor ähnlich: "Die Definition 'vertrauenswürdiger Anbieterinnen' muss sich nicht auf die Herkunft der Anbieterin, sondern auf die tatsächliche und prüfbare technische Sicherheit und Sicherbarkeit ihrer Produkte erstrecken. Alle Anbieterinnen von Komponenten kritischer Infrastruktur – unabhängig von ihrem Herkunftsland – sollten nur zulässig sein, wenn sichergestellt ist, dass das tatsächlich im Einsatz befindliche System auditiert werden kann." Entsprechende Auditierungen sollten regelmäßig stattfinden.

Die von Brantner, von Notz und anderen geforderte "harte Linie gegen Huawei" wegen russischen Spionen in einem US-Produkt verletzt neben dem Gesetz der kausalen Logik auch allgemeine Cybersicherheitsprinzipien, nach denen nur eine konkrete technologische Prüfung eine Sicherheitsaussage über eine konkrete Komponente zulässig macht – und eben nicht das Herkunftsland und die Herrschaftsform der dortigen Führungsschicht.

Durch die Reduktion auf die Herkunft aus einem "autoritären" Herkunftsland wird verschleiert und davon abgelenkt, dass systematische Sicherheitsprobleme bei sehr vielen Produkten aus einem in Brantners Sicht "nicht-autoritären Staat" vorkommen. Wobei sich die Herrschaftsform auch schnell ändern könnte, wenn Donald Trump die nächste Präsidentschaftswahl gewinnt.

Von Notz und US-nahe Dienste

Der im Jahr 2018 verstorbene US-Netzaktivist John Perry Barlow sagte 2014 in einem Interview auf Spiegel Online, es sei schwierig für Firmen wie Cisco, Juniper oder Dell, für deren Hardware die NSA Hintertüren baue. "Wir haben unseren eigenen Firmen das angetan, was die Chinesen Huawei in Wahrheit eben nicht angetan haben."

Auch der deutsche IT-Sicherheitsexperte Manuel Atug stellte kürzlich im ZDF fest, dass US-Geheimdienste immer wieder gezielt Hintertüren in Software eingebaut und ausgenutzt hätten. "Von Huawei ist das bislang nicht bekannt."

Umso absurder ist es aber bei einem Sicherheitsvorfall, an der Cisco-Technologie zumindest beteiligt war, auf Huawei zu zeigen. Wenn Geheimdienstkontrolleur von Notz dies auch noch mit Warnungen der traditionell US-nahen deutschen Nachrichtendienste begründet, sollte der Wert der Aussagen insgesamt infrage stehen. Ist unser 5G-Netz kaputt, werden Geheimtreffen bei Cisco Webex ohne eingeschaltete Sicherheitsfunktionen bestimmt nicht sicherer.

IMHO ist der Kommentar von Golem.de [IMHO = In My Humble Opinion (Meiner bescheidenen Meinung nach)]

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]