Und täglich grüßt das Murmeltier
Im Grunde erleben wir immer wieder denselben Tag: Wir sprechen über einen neuen Angriff auf unsere Kommunikation, reden danach über eine Technologie, die uns künftig schützen soll und liefern dann eine Erklärung, warum dieses Mal alles anders ist. Wir sollten da rauskommen.
Ein mürrischer TV-Wetteransager wacht am 2. Februar in der Kleinstadt Punxsutawney auf. Im Radio läuft wie am Vortag I Got You Babevon Sonny and Cher. Auf dem Weg zur Arbeit grüßen dieselben Leute mit denselben Worten wie am vorherigen Tag und auch sonst läuft alles genauso ab wie gestern. Der 2. Februar wiederholt sich für den von Bill Murray gespielten Phil Connors immer wieder, ohne irgendeine Erklärung oder einen Ausweg.
In der Kommunikationssicherheit leben wir Ähnliches wie in Und täglich grüßt das Murmeltier: Auf jeden neuen Angriff folgt eine Lösung, die das Problem vermeintlich endgültig löst, begleitet von der festen Überzeugung, diesmal sei die Lage wirklich eine andere. Und dann geht’s wieder von vorne los.
Von der Athen-Affäre über den NSA-Abhör-Skandal bis Salt Typhoon
Um das zu erkennen, muss man sich nur die großen Vorfälle der vergangenen 25 Jahre ansehen. Den Anfang machte 2004 die „Athen-Affäre“. In Griechenland übernahmen Unbekannte die für legale Überwachung vorgeschriebene Abhörschnittstelle eines Netzbetreibers und richteten sie gegen Premierminister, Kabinett und Militär. Ausgerechnet das legale Abhörsystem wurde so zur Angriffsplattform. Wir haben daraus gelernt, dem Carrier nicht mehr zu vertrauen.
2013 rückte die NSA-Affäre um das ins Visier genommene Mobiltelefon (natürlich nicht das Gerät von Secusmart) von Bundeskanzlerin Angela Merkel in den Blick. Diesmal war nicht ein einzelner Anbieter das Problem, sondern das Netz selbst und die vertrauensvolle Beziehung zu einem Verbündeten wurde zur Verwundbarkeit. So haben wir gelernt, dem Netz nicht mehr zu vertrauen.
2019 hat der Pegasus-Angriff gezeigt, dass selbst starke Verschlüsselung nicht genügt. Wer das Smartphone kontrolliert, liest mit, bevor verschlüsselt oder nachdem entschlüsselt wird. Von da an haben wir dem Gerät nicht mehr vertraut.
Und Salt Typhoon traf 2024 nicht länger einzelne Ziele, sondern die Telekommunikations-Infrastruktur gleich mehrerer Anbieter auf einmal. Was als verlässliches Fundament galt, war selbst unterwandert. Seither können wir auch dem gesamten System nicht mehr vertrauen.
Nie aufhören, genau hinzuschauen
Dieses Jahr ist der Angriff bei der Identität angekommen. Über QR-Codes und heimlich verknüpfte Geräte übernehmen Angreifer ganze Konten, zum Beispiel bei Signal, und geben sich anschließend als deren rechtmäßige Inhaberinnen und Inhaber aus. Jetzt wissen wir, dass wir nicht einmal mehr darauf vertrauen können, dass ein Account tatsächlich uns gehört.
Jedes Mal sichern wir also eine Schicht ab und erklären das Problem für gelöst, woraufhin sich die Angreifer einfach die nächste Ebene suchen. Und all das gelingt, ohne die Verschlüsselung zu durchbrechen. Die Kryptografie hielt jedes Mal, angegriffen wurde drumherum.
Im Film endet die Zeitschleife, als Phil Connors aufhört, den Tag stur zu wiederholen und anfängt, genau hinzusehen. Für die Kommunikationssicherheit gilt dasselbe. Wir entkommen dem Murmeltier-Tag nur durch eine andere Haltung: Wir sollten keiner einzelnen Schicht blind vertrauen, „verschlüsselt“ nie mit „sicher“ verwechseln, Sicherheit als Lebenszyklus begreifen und nie aufhören, hinzuschauen. Denn der Angriff kommt immer von dort, wo wir nicht mehr hinsehen.
David Wiseman,
Vice President of Secure Communications bei BlackBerry