Die unsichtbare Front — Anmerkungen zur Cyberabwehr
In Genf habe ich beobachtet, wie ein Mann in grauem Anzug einen Vertrag unterzeichnete, der die Sicherheit eines halben Kontinents garantieren sollte. Er lächelte. Drei Jahre später brannte der halbe Kontinent. Ich erwähne das, weil dieselbe Geste heute wiederkehrt — nur ohne Papier, ohne Zeugen. Eine effektive Abwehrarchitektur erfordere eine Kombination aus starker Fähigkeit und starker Überwachung, um zeitgerechte und eigenständige Lagefeststellungen im Cyberraum zu ermöglichen. Das klingt vernünftig. Das klingt nach dem Satz eines Mannes, der lächelt, während er unterschreibt.
Denn betrachten wir, was diese Architektur tatsächlich trägt. Deutschland ist ein Hauptziel staatlich gesteuerter Cyberangriffe — nicht zufällig, sondern mit der Regelmäßigkeit eines Termins, den niemand im Kalender streicht. Die Herausforderung liege in der Umsetzung von Gegenmaßnahmen und der Resilienz. Ich übersetze: Man weiß, dass es geschieht. Man weiß, wer es tut. Man tut zu wenig, und das Wenige geschieht zu spät. APT — Advanced Persistent Threats — sind durch Dauerhaftigkeit, strategische Zielsetzung und verdeckte Urheberschaft gekennzeichnet. Sie tragen keine Uniform, hinterlassen keine Visitenkarten. Ihre Unsichtbarkeit unterscheidet sie vom gewöhnlichen Verbrechen, das wenigstens den Anstand besitzt, Spuren zu hinterlassen.
Die Ziele dieser Angriffe sind keine Geheimnisse, auch wenn man sie so behandelt: Spionage, Beeinflussung der öffentlichen Meinung, Destabilisierung anderer Staaten, Wirtschaftsspionage. Eine Aufzählung wie aus einem Handbuch, das niemand liest, weil das Lesen bereits gefährlich sein könnte. Hochqualifizierte Hackergruppen handeln, oft gestützt von ausländischen Nachrichtendiensten — und hier beginnt die Architektur interessant zu werden. Die Zusammenarbeit zwischen staatlichen Akteuren und Cyberkriminellen, das Verkaufen von Exploits und Malware, verstärkt diese Tendenz und erhöht die Komplexität der Bedrohungen. Man mietet sich den Feind, wenn er nützlich ist. Man verurteilt ihn, wenn er unbequem wird. Die Grenzen zwischen staatlich geförderten Angriffen und Cyberkriminalität verschwimmen — das ist keine Beobachtung, das ist ein Geständnis.
Was bleibt? Unternehmen und Privatpersonen sollen investieren — in umfangreiche Sicherheitsmaßnahmen, in Wachsamkeit. Bei verdächtigen Vorfällen sollen die Sicherheitsbehörden kontaktiert werden. Ich frage: Welche Behörden? Die, die zu spät kommen? Die, die anschließend bestätigen, was alle bereits wussten? Die Abwehrarchitektur gleicht einem Schloss, dessen Schlüssel bereits kopiert wurde, bevor der Bauherr einzog. Wer profitiert? Wer verschweigt? Unklar bleibt, wer hier wen überwacht — und wer dafür bezahlt, dass die Überwachung just in dem Moment versagt, in dem sie gebraucht würde.
Ich trage Handschuhe beim Schreiben. Nicht aus Hygiene. Aus Gewohnheit. Man weiß nie, welche Tastatur mitschreibt.
❖ Ende des Artikels ❖