"Zielscheibe Deutschland"

Datum

03.02.2012

Herr Minister, Sie nehmen an der Münchner Sicherheitskonferenz teil. Können Sie den versammelten Regierungschefs sagen, wer Deutschland in den vergangenen Monaten übers Internet angegriffen hat?

Hans-Peter Friedrich: Den letzten größeren Vorfall, bei dem weltweit mehr als vier Millionen Rechner - davon mindestens 33 000 in Deutschland - infiziert wurden, hatten wir gerade vor einigen Wochen. Dabei wurden die befallenen Rechner vom Schadprogramm so verändert, dass beim Surfen im Internet statt der regulären DNS-Server ein manipulierter Server in Rumänien aufgerufen wurde.

Der oder die Täter stammen also aus Rumänien?

Das bedeutet freilich nicht automatisch, dass auch der oder die Täter aus Rumänien stammen müssen. Die Offenheit und Ausdehnung des Cyberraums erlauben es, verschleierte Angriffe durchzuführen und dabei verwundbare Opfersysteme als Werkzeug für Angriffe zu missbrauchen. Eine eindeutige Identifizierung des Angreifers ist so nicht immer möglich.

In Ihrem Verfassungsschutzbericht taucht der Name China auf. Der US-Geheimdienst NSA listet China auf. Im Jahre 2007 stellten Experten fest, dass das Kanzleramt Zielscheibe von Attacken aus China war. Und die sind nicht zuzuordnen?

Wie gesagt, es gibt in der Regel keine eindeutige Zuordnung zu einem konkreten Angreifer. Aber wir müssen davon ausgehen, dass eine Reihe von Staaten Cyberangriffe als Mittel zur Informationsbeschaffung aus Politik und Wirtschaft einsetzen.

Freundlich, also diplomatisch ausgedrückt sind dieses unfreundliche Akte. Das kann man doch in politischen Gesprächen mit Staaten, die man hinter schweren Angriffen vermutet, thematisieren.

Das geschieht auch. Dort pochen wir auf die Einhaltung internationaler Gepflogenheiten. Allerdings brauchen wir noch internationale Abkommen, die festlegen, wie Staaten angemessen auf Angriffe aus dem Cyberraum reagieren können. Es wird interessant sein zu sehen, wer sich verweigert.

Solche Gespräche über Cyber-War und mögliche Hackerangriffe finden dann auf der Ebene der Staatschefs statt.

Zumeist sind es die Innen- und Verteidigungsminister, die das Problem erörtern.

Dann ist es ja nicht so schlimm!

Wie ernst wir das Thema nehmen, zeigt sich daran, dass wir ein eigenes Cyber-Abwehrzentrum ins Leben gerufen haben. Wir müssen davon ausgehen, dass Cyberangriffe in den nächsten Jahren nicht nur in ihrer Komplexität, sondern auch in ihrer Anzahl weiter zunehmen werden. Da war "Stuxnet" im Jahr 2010 ein Weckruf, weil er auf Netze der sogenannten kritischen Infrastruktur angesetzt war, die nicht mit dem öffentlich zugänglichen Netz verbunden war.

Was war das Besondere an "Stuxnet"?

Damit gab es eine neue Qualität von Angriffen. "Stuxnet" hat mehrere Abwehrriegel durchbrochen, hinter denen man sich bis dahin sicher gefühlt hat. Oder denken Sie an die Vorfälle bei Sony und Adidas im letzten Jahr, die noch einmal deutlich gemacht haben, wie Unternehmen sowohl wirtschaftlich als auch unter Imagegesichtspunkten durch einen IT-Angriff Schaden nehmen können. Unsere Antwort auf global vernetzte Täter muss die Vernetzung von Experten sein, die sich des Problems aus ihrer jeweiligen Perspektive und mit ihrer ganz spezifischen Kompetenz annehmen.

Wenn Unternehmen wie Adidas oder Sony-Deutschland angegriffen werden, melden die Ihnen das sofort?

Wir haben eine große Dunkelziffer. Viele Unternehmen sind überzeugt: Das kriegen wir mit unseren eigenen Bordmitteln hin, das muss niemand wissen. Die Angst vor Imageschäden ist einer Aufklärung unsererseits hinderlich. Dabei garantieren wir stets vertrauliche Behandlung. Wir brauchen angesichts der bestehenden Gefahr und zur Abwehr derartiger Angriffe ein breites, vertrauensvolles Bündnis aus staatlichen und wirtschaftlichen Akteuren. Gerade die mittelständische Wirtschaft ist sich der Gefahren durch ungewollte Know-how-Abflüsse noch nicht hinreichend bewusst.

Die USA fahren da eine rigidere Politik: Sie sind dabei, Betreiber strukturwichtiger Anlagen wie Stromversorger, Finanzdienstleister oder Wasserbetriebe dazu zu verpflichten, wirksame Sicherheitspläne und Abwehrsysteme aufzubauen und Angriffe zu melden. Ist es nicht Zeit, auch in Deutschland daran zu denken?

Eins nach dem anderen: Zunächst bieten wir den Betreibern kritischer Infrastrukturen an, bei der Erstellung effektiver Sicherheitsstrukturen zu helfen. Einige Branchen sind hier bereits sehr aktiv. So gibt es etwa im Bankenbereich schon weitreichende Vorschriften. Wir haben allerdings keine allgemeine gesetzliche Meldepflicht, also keine übergeordnete gesetzliche Regulierung. Wenn die Vorsorgeverantwortung der Betreiber kritischer Infrastrukturen nicht ausreicht, dann werden auch wir entsprechende Gesetze erlassen.

Herr Minister, wir bedanken uns für das Interview.