Der unsichtbare Krieg

Yvonne Hofstetter

Der
unsichtbare
Krieg

Wie die Digitalisierung
Sicherheit und Stabilität
in der Welt bedroht

Knaur e-books

Inhaltsübersicht

Über Yvonne Hofstetter

Yvonne Hofstetter, geb. 1966, Juristin, begann ihre Karriere in international führenden Unternehmen der Informationstechnologie und Rüstungsindustrie im Jahr 1999. Von 2009 bis 2019 war sie Geschäftsführerin der Teramark Technologies GmbH, eine auf die intelligente Auswertung von Big Data spezialisierte Firma. Heute ist sie vor allem als Publizistin und Keynote-Speakerin zum Thema Digitalisierung tätig. 2014 veröffentlichte sie Sie wissen alles, gefolgt von Das Ende der Demokratie im Jahr 2016 – beide Bücher wurden zu Bestsellern. 2018 wurde sie mit dem 53. Theodor Heuss Preis ausgezeichnet und 2019 zum Mitglied der Chatham House Kommission zu Demokratie und Technologie in Europa ernannt.

Impressum

© 2019 der eBook-Ausgabe Droemer eBook

© Yvonne Hofstetter 2019.

Dieses Werk wurde vermittelt durch die Literarische Agentur Michael Gaeb.

© 2019 Droemer Verlag

Ein Imprint der Verlagsgruppe Droemer Knaur GmbH & Co. KG, München

Alle Rechte vorbehalten. Das Werk darf – auch teilweise – nur mit

Genehmigung des Verlags wiedergegeben werden.

Covergestaltung: Martin Steiner

Coverabbildung: youworkforthem / Colorpong

ISBN 978-3-426-45508-1

Endnoten

Nein, ich habe nie eine Pornografie-Webseite besucht, und bei mir gibt es auch nichts zu sehen oder zu hören, wenn ein Hacker Kamera oder Mikrofon an meinem Laptop oder Tablet einschaltet. Denn schon viele Jahre lang klebe ich die Sensoren meiner elektronischen Geräte ab. Deshalb ist die E-Mail-Drohung nichts weiter als ein Bluff. Sollten Sie ähnliche Erpresser-Mails erhalten, zahlen Sie nichts. Und wenn auf die Drohbotschaft eine weitere E-Mail mit Anhang folgt, hüten Sie sich, den Anhang zu öffnen! Er könnte Schadsoftware auf Ihrem Rechner installieren.

Während ich an diesem Buch schreibe, werde ich von Computerkriminellen einmal erpresst, einmal bestohlen und einmal gehackt. Obwohl ich für die Sicherheit meiner eigenen Rechneranlagen bis jetzt selbst sorgen konnte: Der Schutz von Informationen, die ich anderen Unternehmen überlassen musste, entzieht sich meiner eigenen Sorgfalt. Zum Beispiel bei Dropbox. Der Datenspeicher wurde angegriffen und die E-Mail-Daten der Nutzer gestohlen. Oder bei der Hotelkette Marriott. Adressen von 500 Millionen Hotelgästen wurden entwendet, viele Kreditkartendetails eingeschlossen. Auch ich bin Kundin bei Marriott. Nur wenn die Bank Verdacht schöpft – »Wir haben Ihre Kreditkarte gesperrt, weil wir eine verdächtige Transaktionsanfrage der Air Nigeria erhalten haben« –, verursacht der Datendiebstahl keinen unmittelbaren finanziellen Verlust beim Kontoinhaber. Trotzdem ist der volkswirtschaftliche Schaden durch Online-Betrügereien beträchtlich, weil er völlig unproduktiven Arbeitsaufwand verursacht.

Wenn Hackerangriffe publik werden, stellen sich Bürger wie Unternehmen gerne vor, die Angriffe würden von 18-jährigen Sonderlingen aus dem Schlafzimmer heraus geführt. Oft haben sie damit auch recht. Doch nun findet ein Bewusstseinswandel statt: Ermittler stellen immer häufiger fest, dass digitale Angriffe von Regierungen anderer Staaten beauftragt oder orchestriert sind, die sich privater Helfer bedienen, um online zu spionieren, Sabotageakte vorzubereiten und subversiv zu handeln. Der Angriff auf die Marriott-Hotelkette soll auf das Konto chinesischer Hacker gehen, die für das chinesische Regime spionieren.[1] Peking streitet die Angriffe ab – ein ganz typisches Verhalten, um sich von illegalen Aktionen auf fremdem Staatsgebiet zu distanzieren und Vergeltungsmaßnahmen der Staatengemeinschaft vorzubeugen. Die Externalisierung staatlicher Angriffe an Hacker, Internettrolle und Roboter, kurz: an die privaten Subunternehmer des Staates, erleichtert das Leugnen jedweder Regierungsbeteiligung.[2]

Die Digitalisierung hat nicht nur unser Privatleben und unseren Arbeitsalltag fest im Griff, mit ihr durchläuft auch die Kriegsführung die nächste Stufe der Evolution. Für Politik und militärische Gewaltausübung sind die allgegenwärtige Vernetzung, unsere permanente Ansprechbarkeit, die Geschwindigkeit der Kommunikation und immer intelligenter werdende Maschinen lohnende Mittel einer Art Soft War. Sie erlauben, Druck auf Staaten und deren Bevölkerung – selbst bei so etablierten Mächten wie den USA – auszuüben und trotzdem das Risiko von Vergeltung und Eskalation zum heißen Krieg klein zu halten. Ganz ausschließen lässt es sich aber nicht, wie wir noch sehen werden. Denn die sogenannten asymmetrischen oder hybriden Bedrohungen, zu denen digitale Spionage, Sabotage und Subversion zählen, sind zum erschwinglichen Kriegsersatz geworden.[3] Und weil digitale Angriffe billiger kommen als ein heißer Krieg, nehmen immer mehr Staaten – auch die ökonomisch schwachen mit geringen Militärausgaben und schlecht ausgerüsteten Truppen sowie die neuen globalen Aufsteiger – eifrig daran teil und stören die internationale Ordnung und ihr früheres Gleichgewicht.

Deshalb werden für die Kriegsführung im 21. Jahrhundert Universaltechnologien wie künstliche Intelligenz für kognitive Maschinen immer wichtiger. Einige Nationen haben klar erkannt: Digitale Technologien bringen nicht nur wirtschaftlichen Nutzen, sondern auch politische und militärische Überlegenheit. Wer geostrategische Einsatzkonzepte der Digitalisierung findet, wird im neuen Wettbewerb des Kräftemessens der Großmächte in Führung gehen.

Die Vereinigten Staaten, bisher unbestritten digitale Führungsmacht, sehen ihren einstigen Vorsprung rasch schmelzen und geben unfreiwillig Einfluss an kraftstrotzende Parvenüs, besonders China, ab. Der Rückzug Amerikas und die Vehemenz, mit der sich konkurrierende Mächte räumlich ausdehnen, haben ein neues, beängstigendes Wettrüsten eingeläutet, das sich nicht nur auf Datendiebstahl, Sabotage und Subversion beschränkt. Durch die Vernetzung von allem mit allem zum Internet of Everything erfasst das digitale Wettrüsten auch die physische Welt, die noch smarter werden wird als unsere Smartphones, smarten Häuser oder Autos: Kampfroboter, Drohnenschwärme, intelligente Implantate, vernetzte Nuklearwaffen und hypersonische Trägerplattformen intelligenter Munition, die ihre Ziele mit einer Überschallgeschwindigkeit von bis zu 33000 Stundenkilometern innerhalb weniger Minuten erreichen.

Die Ausbreitung des Internet of Everything macht die Mittel des Krieges im 21. Jahrhundert unüberschaubar, weshalb ich mir erlaubt habe, eine thematische Auswahl zu treffen.

Kapitel 1 beginnt damit, dass Staaten digital spionieren und sabotieren. Die Frage nach ähnlichen Operationen, die nicht staatliche Akteure im eigenen Interesse ausführen – etwa Kriminelle oder Terroristen –, wird bewusst ausgeklammert, weil wir Folgendes reflektieren wollen: Ist das, was wir gedankenlos als »Cyberkrieg« bezeichnen, wirklich Krieg? Eine völkerrechtlich ausdrücklich geforderte Voraussetzung des Krieges ist zwischenstaatliches Handeln. Geht Gewalt indes von Privaten aus, wie es Freiheitskämpfer, Aufständische, Terroristen oder private Hacker ohne staatliches Mandat sind, ist die völkerrechtliche Voraussetzung im strikten Wortsinn nicht erfüllt.

Steter Begleiter der Machtkontrolle in Zeiten von Krieg und Frieden ist die Unterminierung des Vertrauens einer Bevölkerung in ihre Regierung. Meisterstück einer solchen Subversion waren die koordinierten Angriffe Moskaus auf den amerikanischen Präsidentschaftswahlkampf 2016, die vom amerikanischen Sonderermittler Robert Mueller akribisch nachvollzogen und beschrieben wurden. Möglich wurde die Subversion erst durch die Geschäftsmodelle von Facebook, Twitter und Co. Wie der Informationsraum des 21. Jahrhunderts die Gesellschaft spaltet und den Humus für den Aufstieg von Demagogen bildet, ist Gegenstand der Überlegungen in Kapitel 2.

Kapitel 3 verlässt die virtuelle Welt und begibt sich hinaus in die physische Realität tödlicher autonomer Waffensysteme. Nicht nur Deutschland will gemäß Koalitionsvertrag der 19. Legislaturperiode bis 2021 letale autonome Waffensysteme ächten, auch andere Staaten ringen um eine Regulierung der bedrohlichen neuen Waffen, die aus dem Nichts auftauchen, ihren Kill Cycle aktivieren und ohne menschliches Zutun töten können. Doch die Chancen für ein Verbot stehen schlecht, auch weil Deutschland nicht reglementieren will, was es laut eigener Feststellung noch gar nicht gibt: selbstbestimmte Waffen, deren kritische Funktionen dem Menschen ganz entzogen sind. Liegt die Lösung eines Verbots dann vielleicht nicht beim Recht, sondern in der Aufrüstung von Gegenmaßnahmen der elektronischen Kampfführung?

Wen ein digitaler Angriff trifft, der will am liebsten Rache nehmen.

»Wenn ich je einen Hacker zwischen die Finger bekomme, drehe ich ihm den Hals um«, höre ich von seriösen Programmierern, die immer wieder mit Zusatzarbeit als Folge digitaler Angriffe konfrontiert sind. Immer mehr Unternehmen wünschen sich daher, eigene Kompetenzen für das Hacking Back aufzubauen. Aber ist das Zurückhacken überhaupt erlaubt? Trifft die Vergeltung tatsächlich auch den wahren Angreifer oder vielleicht nur einen Unbescholtenen in einem alliierten Land, dessen Rechner für einen Angriff missbraucht wurde? Und wenn Hacking Back erlaubt sein soll, ist der Verteidiger auch auf die Folgen einer Eskalation vorbereitet? Die Verteidigung gegen digitale Angriffe ist eine heikle politische Angelegenheit und kann ernstliche diplomatische Verwicklungen nach sich ziehen. Wie das Völkerrecht zur Verteidigung in digitalen Zeiten steht, erörtern wir in Kapitel 4.

Wenn einige Staaten erkannt haben, dass die Technologien der digitalen Ära auch Geopolitik unterstützen, werden sie ihre Technologiestrategie darauf abstimmen. Kapitel 5 stellt fest, dass es Unterschiede zwischen dem Westen einerseits und China und Russland andererseits gibt, was Digitalstrategien angeht. Abhängig vom politischen System wird insbesondere die künstliche Intelligenz als Schlüsseltechnologie für das 21. Jahrhundert anders eingesetzt – hier für mehr wirtschaftliche Wettbewerbsfähigkeit, dort für die politische und militärische Kontrolle wirtschaftlich relevanter Ressourcen. Die Unterschiede beim Einsatz künstlicher Intelligenz sind das Ergebnis zweier ungleicher Systemalternativen, die erstmals aufeinanderprallen: der Neoliberalismus und der chinesische Traum von der Weltherrschaft.

Zwischen beiden Systemalternativen ist Europa herausgefordert. Was bedeutet das neue Großmachtstreben Asiens für unseren europäischen Erdteil? Das Amerika Donald Trumps will jedenfalls nicht mehr für die Sicherheit Europas eintreten. Der Kontinent ist somit stärker auf sich selbst gestellt – gegen den Druck und die Spaltungsbemühungen aus dem Osten von nah wie fern. Kann Europa eine eigene Weltpolitik formulieren und auch leben? Die neuen Technologien könnten dabei unterstützend wirken. Eine kleine Auswahl an Ideen dafür betrachtet Kapitel 6.

Als ich begann, mich mit digitalen Technologien im Kontext politischer Macht und militärischer Gewalt zu beschäftigen, traf ich zunächst auf ein scheinbar kapitales Denkhindernis. Wer die bessere Waffe hat, so der erste Reflex, der setzt sich politisch oder militärisch durch. Erst langsam erschlossen sich mir die politischen Feinheiten und die Bedeutsamkeit des außerordentlichen Umbaus der Weltordnung, der sich vor unseren Augen vollzieht. Atemberaubendes geschieht, will gesehen, gewusst und thematisiert werden. Technologie steht dabei nicht nur am Spielfeldrand – sie ist ein, wenn nicht der wichtigste, Schlüssel dafür, welche Ordnung unser digitales 21. Jahrhundert dominieren wird.

»Der Angeklagte Marcus Hutchins alias Malwaretech hat sich wissentlich mit dem Angeklagten N. N. verschworen und mit diesem vereinbart, die folgende Straftat gegen die Vereinigten Staaten von Amerika zu begehen: innerhalb eines Jahres vorsätzlich Computerprogramme, -codes und -befehle auf zehn oder mehr geschützte Computer zu übertragen, um Schaden zu verursachen.«[4]

So lautet die Anklage des United States District Court, Eastern District of Wisconsin, Aktenzeichen 17-CR-124, gegen den 23-jährigen britischen Staatsangehörigen Marcus Hutchins, ein Blogger zum Thema Schadsoftware und Mitarbeiter der US-amerikanischen Firma Kryptos Logic.

Auf dem Heimweg von der Teilnahme an den beiden amerikanischen Hackerkonferenzen Black Hat Briefings und DEF CON im August 2017 wartet der junge Mann in der Lounge des Flughafens Las Vegas McCarran International gerade auf seinen Rückflug nach Großbritannien, als er festgenommen, aus dem Flughafen eskortiert und zur FBI-Außenstelle Las Vegas geschafft wird. Dort konfrontiert man ihn mit dem Vorwurf der Verschwörung: Er habe den Banktrojaner Kronos, der Zugangsdaten zu Bankkonten stiehlt, programmiert und für wenige Tausend US-Dollar verkauft.

Was sich in die juristisch-trockene Sprache der Anklageschrift kleidet, die selbst nur Behauptungen aufstellt, aber keine Beweise vorlegt, kann dem jugendlich wirkenden Programmierer bis zu 40 Jahre Freiheitsstrafe einbringen. Schon im Teenageralter soll er als Black-Hat-Hacker ohne ethische Standards im Auftrag Dritter tätig gewesen sein, dann aber um das Jahr 2013 zu den White-Hat-Hackern, den »guten« Hackern, gewechselt haben. Aber sicher ist man sich nicht.

Je nach Beobachter pikant, verstörend oder strategisch unklug an der Anklage der amerikanischen Justiz ist, dass es ausgerechnet Marcus Hutchins war, der erst im Mai 2017 einen »Notausschalter« im Programmcode der Erpressersoftware WannaCry gefunden und betätigt hatte. Rein zufällig sei das geschehen, sagen die einen. Nein, er kannte den Kill Switch nur, weil er die Erpressersoftware mitentwickelt habe, behauptet hingegen das amerikanische FBI. Monate später sollte sich herausstellen, dass Marcus Hutchins, der seine Unschuld beteuerte, die Wahrheit gesagt hatte.

»Es ist offiziell«, titelt das Wall Street Journal im Dezember 2017. »Nordkorea steckt hinter dem Cyberangriff mit WannaCry.«[5] Ein Staat und seine Hacker hatten zahlreiche andere Staaten angegriffen.

Doch den Vorwurf, er sei für den Banktrojaner Kronos verantwortlich, konnte Hutchins nicht entkräften. Im April 2019 bekannte er sich schuldig, die Schadsoftware programmiert und vertrieben zu haben. Immerhin: Die restlichen Anklagen wurden fallen gelassen.

»Uuups, Ihre Daten wurden verschlüsselt! Überweisen Sie den Gegenwert von 300 US-Dollar in Bitcoin an die folgende Adresse.«[6] Was folgt, ist ein langer Schwanz aus Ziffern und Buchstaben – und etliche getätigte Überweisungen an die Erpresser. Im Sturm hatte sich die Erpressersoftware WannaCry seit dem frühen Morgen des 12. Mai 2017 auf dem ganzen Globus ausgebreitet und 99 Länder infiziert, darunter auch China und Russland, regelmäßig die ersten Verdächtigen, denen man die Urheberschaft von Hackerangriffen unterstellt. Die Schadsoftware nützt eine Sicherheitslücke im Microsoft-Betriebssystem aus, verschlüsselt wichtige Daten des infizierten Computers und gibt den Zugriff auf die Daten erst nach Zahlung eines Geldbetrags wieder frei.[7]

Lange war die betroffene Microsoft-Sicherheitslücke nur der US-amerikanischen Heimatschutzbehörde NSA bekannt. Nicht nur die NSA, auch andere westliche Sicherheitsbehörden sammeln Sicherheitslücken von Computerprogrammen – im Hackerjargon Zero Days genannt –, um bei Bedarf in jeden Rechner weltweit einbrechen zu können. Normalerweise sind Sicherheitslücken strikt geheim. Doch mit der Geheimhaltung war es schnell vorbei, als die NSA selbst Opfer eines Datenklaus wurde. Eine Hackergruppe mit dem Namen Shadow Brokers, die die NSA erfolgreich überrumpelt hatte, machte die gestohlene Information über die Microsoft-Sicherheitslücke im April 2017 im Internet öffentlich bekannt. Es dauerte nur wenige Tage, und WannaCry trat seinen Raubzug rund um die Erde an.

Von WannaCry geschädigt waren zunächst britische Krankenhäuser, dann auch das US-Logistikunternehmen FedEx, russische Banken, das russische Innen- und Gesundheitsministerium, die staatliche russische Eisenbahn und das zweitgrößte Mobilfunknetz Russlands. In Deutschland wurde schnell für jeden Bahnreisenden offenbar, dass auch die Bahn AG Opfer war, so prominent prangte auf Zugzielanzeigen deutscher Bahnhöfe die Erpresserbotschaft.

Microsoft zeigte sich besorgt, machte aber gleichzeitig sorglose und leichtsinnige Nutzer mitverantwortlich für den entstandenen Schaden. Denn außer der NSA war auch Microsoft selbst auf die Sicherheitslücke in seinen Betriebssystemen gestoßen – und hatte seinen Nutzern schon im März 2017 eine Softwarekorrektur geliefert, die die Lücke schließen sollte. Nur: Millionen Nutzer hatten ihre Rechner nicht aktualisiert und blieben weiter angreifbar. Schlimmer noch, zahlreiche Behörden nutzen für kritische staatliche Infrastrukturen noch heute ein veraltetes, vom Softwarehersteller seit April 2014 nicht weiter gepflegtes Betriebssystem: Windows XP.

Der erpresserische Angriff vom Mai 2017 offenbart ein Dilemma. Es ist die Ratlosigkeit der öffentlichen Hand bei der Beschaffung von Softwaresystemen. Bei der Digitalisierung kritischer Infrastrukturen – Verkehr, Energie, Verteidigung, Gesundheit, Ernährung, Finanzmärkte oder die staatliche Verwaltung – stehen die Behörden vor der Frage: Make or Buy? Soll man die Software für den Betrieb von Panzern, Atomkraftwerken oder Krankenhäusern bei Google, Microsoft, Amazon, SAP & Co. einkaufen oder lieber selbst bauen? Die Fachwelt spricht hier von Commercial off-the-Shelf, also von kommerzieller Fertig-Software, kurz: COTS. Auf den ersten Blick ist der Kauf von der Stange immer billiger, weil niemand nachbauen will, was ein anderer längst erfunden hat. Aber es gibt eine große Einschränkung. Standardsoftware ist sehr unsicher. Sicherheitslücken werden schnell weltweit bekannt und auch ausgenutzt. Die Folgen von Cyberangriffen auf den Betrieb kritischer Infrastrukturen können verheerend sein, denn obligate Sicherheitsstandards gibt es bisher keine.[8]

Was die Sache zusätzlich erschwert: Oft ist für die Digitalisierung kritischer Infrastrukturen oder für Kriegsgerät eine Zulassung nötig, so etwas wie ein Pendant zum TÜV-Siegel. Normalerweise erfolgt eine solche Zertifizierung für eine im Detail spezifizierte Zielplattform, etwa ein Waffensystem, ein Messsystem oder ein Röntgengerät samt Software. Wird eine neue Softwareversion geladen, um die Zielplattform zu aktualisieren, entfallen genau aus diesem Grund häufig sowohl die Betriebserlaubnis als auch Garantien für andere Computerprogramme, die mit der früher zertifizierten Zielplattform integriert waren. Zeiten, in denen wir, die Konsumenten, aufgefordert werden, uns unablässig und in Echtzeit zu erneuern, sind deshalb schlechte Zeiten für den Betrieb kritischer Infrastrukturen des Staates, die über eine Lebensdauer von 20 Jahren und länger verfügen. Bislang ist unklar, wie und ob der gordische Knoten lösbar ist, der durch den Konflikt zwischen zwei inkompatiblen Paradigmen entsteht: zwischen der geforderten und aus Sicherheitsgründen auch notwendigen Daueraktualisierung und der Langlebigkeit gemeinschaftlich genutzter Infrastrukturen.

Dennoch bleiben die Firma Microsoft und mit ihr viele Technologiegiganten dabei: Computersicherheit obliegt auch der Verantwortung des Nutzers, der (moralisch) verpflichtet sei, seine Rechner stets auf neuesten Stand zu bringen. Was die Haftung für einen sicheren Rechnerbetrieb betrifft, sehen die Hersteller also ihren Kunden gleichermaßen in der Pflicht – immerhin läge es in dessen Macht, seine betriebliche Sicherheit selbst zu beeinflussen. Dass aber insbesondere staatliche Nutzer ein zertifiziertes System nicht ohne Weiteres aktualisieren können, ignorieren die Anbieter, während ebendiese Nutzer nur allzu gerne vergessen, wie wartungsintensiv ihre digitalisierte Infrastruktur tatsächlich ist.

Dass Fragen rund um die Sicherheit digitalisierter Infrastrukturen nicht leichtfertig auf den Nutzer abgewälzt werden sollten, liegt darin begründet, dass Unternehmen wie Regierungen auf die digitalen Angebote Dritter dringend angewiesen sind. Millionen von Nutzern gebrauchen die Rechnerwolken von Technologiegiganten wie Amazon oder IBM. Ihre Sicherheit, ihre Verfahren, ihr Know-how hängen sämtlich davon ab, dass die Betreiber von Rechenzentren ihre Clouds gegen Hackerangriffe absichern. Das kann aber nie ganz gelingen. Jeder Softwarecode, auch der in Rechenzentren, hat Fehler oder Lücken, die sogenannten Bugs. Softwarefehler, die Zugriffe auf Rechner ermöglichen, sind Gold wert und werden, sofern sie noch nicht öffentlich bekannt sind und sich noch niemand auch nur einen Tag lang mit ihrer Korrektur beschäftigt hat (daher der Name Zero Day), mit bis zu sechsstelligen Dollarbeträgen gehandelt.

Microsoft erhebt aus diesem Grund nachvollziehbare Vorwürfe gegen die NSA. Der amerikanische Staat hortet Sicherheitslücken kritischer Computerprogramme, kann sie aber selbst nicht geheim halten. In den Händen von Datendieben würden Sicherheitslücken so zu zerstörerischen Waffen, erklärt Brad Smith, Microsoft Chief Legal Officer, ja sogar zu Massenvernichtungswaffen. Dem stimmt auch Michael Rogers, der frühere NSA-Chef, zu. Computerwürmer und Virensoftware, so schlägt er vor, sollten dem Kriegsvölkerrecht unterliegen: »Cyberwaffen sind nur eine andere technische Möglichkeit, um in einigen Fällen dieselben Schäden hervorzurufen wie konventionelle Waffen.«[9]

»Der Diebstahl der Microsoft-Sicherheitslücke bei der NSA ist mit dem Diebstahl einiger Tomahawk-Raketen beim US-amerikanischen Militär vergleichbar«, schlussfolgert Brad Smith ähnlich entschieden.[10][11]