Totale Überwachung

483 Seiten in 2 Tagen. Selten lese ich ein Buch bis zum Ende. Noch seltener gelingt es mir, ein Buch in 2 oder 3 Tagen zu verschlingen. In letzter Zeit waren es nur 3 - „Konklave“ von Robert Harris und „Helix“ und „Zero“ von Marc Elsberg. Marc Elsberg schreibt Thriller, die sich mit den Folgen moderner Technologien befassen. In seinem Buch Helix beschreibt Marc Elsberg Genmanipulationen und deren mögliche negativen Folgen. Zero ist dagegen der lückenlosen Überwachung, Sammlung und Ausnutzung privater Benutzerdaten und Beeinflussung des Menschen durch künstliche Intelligenz gewidmet. Marc Elsberg mischt diese Themen geschickt zusammen und verpackt sie in einen spannenden Thriller. Der Leser dieses Buches erfährt vieles über die aktuellen Möglichkeiten der digitalen Technologie und wird dabei gut unterhalten. Das Rezept von Marc Elsberg, auf eine unterhaltsame Art und Weise die Gefahren neuer Technologien aufzuzeigen, ermöglicht ihm eine breitere Leserschaft anzusprechen. Viele Leser von Zero werden sich wahrscheinlich nur ungern Vorträge von Wissenschaftlern anschauen, die vor den negativen Folgen der neuen Technologien warnen. Ein spannender Thriller, der dieselbe Warnung sehr plastisch darstellt, ist eine viel angenehmere Art, sich mit diesem Thema zu auseinanderzusetzen.

Was droht uns also demnächst? Marc Elsberg skizziert eine nahe Zukunft der totalen Überwachung. Alle Menschen werden durch die staatlichen Akteure rund um die Uhr überwacht. Unzählige Kameras in den Städten (auf die sich Geheimdienste problemlos Zugriff verschaffen) folgen uns auf Schritt und Tritt. Unsere Smartphones und soziale Medien liefern weitere unzählige Informationen über uns. Diese Fülle an Information kann kein Mensch mehr sinnvoll verarbeiten und auswerten. Die echte Gefahr sind die intelligenten Algorithmen, die blitzartig diese Flut an Information über uns sortierten, analysieren und nach definiertem Muster auswerten können. 

Es gibt auch weitere Akteure, die Zugriff auf diese Information haben und sie für eigene Interessen nutzen können. In Gegensatz zu Geheimdiensten, die sich den Zugriff auf diese Information ohne um Erlaubnis verschaffen können, fragen uns meistens die Betreiber sozialer Netzwerke oder anderer Dienste, ob wir mit der Verarbeitung unserer Daten einverstanden sind. Sehr viele von uns stimmen zu, weil man die Apps als nützlich betrachtet. Was dann wirklich mit unseren Daten passiert ist hinter dem Schleier der üblichen Floskeln des Betreibers versteckt. Wie z.B. „Wir verarbeiten Ihre Daten mit besonderer Sorgfalt und schützen sie vor den unbefugten Zugriff durch Dritte“.

Benutzer können diesen Behauptungen nun vertrauen oder auch nicht. Wir haben so gut wie keine Möglichkeit diese Aussagen zu kontrollieren oder zu überprüfen, was wirklich mit unseren Daten gemacht wird und wie sie tatsächlich gegen den Zugriff durch unbefugte Dritte (z.B. staatliche Organisationen) geschützt sind. Ein Schritt in die richtige Richtung sind gesetzliche Auflagen für die Verarbeitung von personenbezogenen Daten, wie unter anderem die DSGVO. Dieses Gesetz gibt uns das Recht über die Verarbeitung personenbezogener Daten zu entscheiden. Leider stehen wir mit unserem Recht ziemlich allein den übermächtigen Internet-Konzernen gegenüber und haben kaum Chancen unser Recht gegen die Interessen dieser Konzerne durchzusetzen.

Inzwischen sogar die US-Amerikaner sind besorgt über die ausufernde Überwachung. New York Times hat herausgefunden, dass man sogar die anonymen Bewegungsdaten (GPS) sehr einer konkreten Person zuordnen kann. New York Times beschreibt die aktuelle Situation sehr treffend:

„We are living in the world’s most advanced surveillance system. This system wasn’t created deliberately. It was built through the interplay of technological advance and the profit motive. It was built to make money. The greatest trick technology companies ever played was persuading society to surveil itself.“

Marc Elsberg beschreibt noch eine andere Art der totalen Überwachung. Es sind die vielen Benutzer der sozialen Netzwerke oder anderer Internetdienste, die uns Folgen und in manchen Fällen auch denunzieren können. Mit der Verbreitung von Gesichtserkennung und Augmented Reality - d.h. intelligenter Brillen, welche Informationen über Objekte liefern, die wir gerade betrachten - kann jeder Nutzer dieser Technologien zu einem potentiellen Überwacher werden. Jederzeit werden wir im öffentlichen Raum durch unzählige private und behördliche Kameras überwacht. Aber auch jeder Passant mit einer intelligenten Brille kann aktiv Informationen sammeln und sie automatisch auswerten. Somit wird jeder von uns durch ein Netzwerk von Menschen überwacht, ohne es zu wissen. 

Eine weitere Herausforderung stellen die intelligenten Apps dar. Solche Apps sammeln Unmengen an Daten über uns und werten sie aus. Sie können uns sehr nützliche Vorschläge für unser Leben liefern, z.B. über unsere Gesundheit oder Fitness. Da solche Apps sehr viel über unsere Emotionen, Vorlieben und Neigungen wissen, sind sie auch imstande unser Verhalten vorherzusagen. Das heißt sie können mit bestimmter Wahrscheinlich berechnen, wie wir uns in gewissen Situationen verhalten werden. Mit diesem Wissen können sie aber auch sehr leicht unser Verhalten manipulieren. Auch hier wissen wir nicht, wie die Algorithmen, die uns die hilfreichen Ratschläge geben, funktionieren. Die Betreiber liefern keine Informationen darüber und behaupten, es sei ihr geistliches Eigentum.

Intelligente Apps, Augmented Reality, Künstliche Intelligenz und eine Unmenge von diversen Sensoren sind neue Herausforderungen des digitalen Zeitalters. Diese Technologien können uns in sehr vielen Aspekten helfen unser Leben zu verbessern. Sie können aber auch gegen uns verwendet werden. Entweder durch diktatorische Regime oder gierige Unternehmen, die uns mehr oder weniger versklaven. Yuval Harari, der vor Technologien warnt, die den Menschen hacken können, zeigt folgendes Horrorszenario. Stellen sie sich vor, dass Nordkorea über eine Technologie verfügt, die Ihre Emotionen kontrollieren kann. Diese Technologie misst, ob Ihre Begeisterung während der Ansprache des „geliebten“ Führers wirklich echt ist oder nur gespielt. Wenn die App erkennt, dass sie nur äußerlich die Zustimmung zeigen, ist die Überweisung in ein Umerziehungslager schon in die Wege geleitet. Eine solche Technologie wird schon bald Realität werden. Ein schreckliches Szenario, das sogar Orwell's Vorstellung im „1984“ bei weitem übertrifft.

Was sollen wir in dieser Situation tun? Verzichten kann man auf die Nutzung moderner Technologien in einer Ära der Digitalisierung kaum. Den Fortschritt zu stoppen ist auch nicht mehr möglich. Michal Kosinski, Professor an der Stanford Universität, meint, dass unsere Privatsphäre schon verloren ist. Michal Kosinski zeigt, dass schon mit einigen wenigen „Likes“ künstliche Intelligenz sehr genaue Einschätzung einer Person möglich macht.

Es gibt keine Chance, die Unmengen privater Information, die überall über uns gesammelt werden, zu stoppen. Wir müssen uns also darauf konzentrieren, was mit diesen Daten passiert und wie sie verarbeitet werden. Wir müssen Betreiber zwingen, ihre Algorithmen und Verarbeitungsmethoden transparent zu machen. Wir müssen kontrollieren, was hinter dem Vorhang mit unseren Daten geschieht. Das können wir nur durch öffentlichen Druck und Regulierung erreichen. Ja, digitale Wirtschaft muss reguliert werden so wie die Lebensmittel oder Pharmaindustrie. Regulierungsorgane müssen Auflagen definieren, an die sich die Verarbeitung unserer Daten zu richten hat. Diese Organe müssen auch das Recht erhalten, wirkliche Kontrollen durchzuführen.

In Deutschland aber auch innerhalb der EU gibt schon eine ernsthafte Diskussion über solche regulativen Maßnahmen.  Ein Konzept einer „vertrauenswürdiger KI“ wird skizziert. Paul Nemitz, Chefberater der Generaldirektion für Recht und Verbraucherschutz bei der Brüsseler Regierungseinrichtung sprach vor kurzem auf einem  Symposium der Datenschutzkonferenz von Bund und Ländern zum Thema "Künstliche Intelligenz über dem geplanten Weißbuchs der EU-Kommission für einen KI-Rahmen.

Cybersecurity im Digitalen Wandel – Die wichtigsten Bedrohungen, Trends und entscheidende Maßnahmen

Ein Interview, durchgeführt am 9 Februar 2017 

Inwieweit verändert sich durch den digitalen Wandel die Bedeutung von IT-Security?

Die zukünftige Rolle von IT-Security – und hier würde ich lieber über Information Security sprechen, weil eben die Sicherheit der Information entscheidend sein wird – hängt sehr stark von Veränderungen ab, die der digitale Wandel mit sich bringt und weiterbringen wird. Was wird sich grundsätzlich ändern? Ich denke es sind vor allem vier Aspekte: 1. Daten werden zum Hauptrohstoff der digitalen Wirtschaft, 2. alle Geschäftsprozesse werden weitgehend vollständig automatisch ablaufen, 3. zentrale Plattformen werden viele Geschäftsprozesse auf Basis von Big Data und künstlicher Intelligenz managen, 4. dezentrale Kommunikation basierend auf Blockchain-Technologie und IoT schafft autonome Peer2Peer Systeme, die viele Daten erfassen und austauschen werden, um autonome Entscheidungen zu treffen. Digitale Wirtschaft wird also massiv data-centric sein. Sogar in der Produktion der materiellen Güter wird das Wissen wie man produziert am wertvollsten sein. Unternehmen, die Daten und intelligente Analyse-Technologie zur Verfügung haben, werden zu den Gewinnern des digitalen Zeitalters zählen. Vielleicht – wobei das eher noch eine Vision ist – erleben wir eine Zeit, in der in den Bilanzen der Unternehmen statt dem “klassischen”, auf materiellen Werten basierenden Anlagevermögen die Position Datenvermögen auftauchen wird.

Die Automatisierung, die nicht nur die Menschen bei der Arbeit unterstützt, sondern sogar fast vollständig ersetzt, sehen wir schon jetzt in der Finanzbranche bei Daily Trading und anderen Finanzprozessen. Interessant ist, dass auch sehr viele Angriffe gegen unsere Unternehmen automatisch durchgeführt werden.

Daraus ergeben sich klare Anforderungen an Information Security von morgen: Schutz der wichtigen Daten des Unternehmens und Sicherstellung der einwandfreien Funktionsweise der automatisierten Geschäftsprozesse. Wenn ein Unternehmen es nicht schafft seine digitalen Werte vor Dieben und der Konkurrenz zu schützen, wird es bald Bankrott gehen.

Was müssen Unternehmen im Bereich IT-Security tun, um im digitalen Business erfolgreich zu sein?

Unternehmen müssen zunächst eine einfache, schnell anpassbare Strategie entwickeln. Eine solche Strategie berücksichtigt den Wert der Daten für das Unternehmen und die größten Gefahren und leitet daraus die erforderlichen und praktischen Sicherheitsmaßnahmen ab. Die Cybersecurity muss weitgehend automatisch erfolgen. Das ist die einzige Chance, automatische Angriffe rechtzeitig zu erkennen und abzuwehren. Unternehmen müssen auch überprüfen, ob sie über eine ausreichende Zahl an kompetenten Ressourcen verfügen und ob es nicht sinnvoller ist, diese Aufgabe an ein Managed Security Service zu übergeben.

Das ist besonders wichtig angesichts der rasanten Zunahme der Bedrohungen und der zunehmenden Stärke der Angriffe – z. B. ist die DDOS Angriffsstärke im Jahr 2016 von 300 Gbit per second auf 1,2 Terabit per second gestiegen, also um das Vierfache!

Was sind die wichtigsten Risiken, mit denen Unternehmen im Bereich Cybersecurity umgehen müssen?

Es gibt sehr viele Gefahren für jedes Unternehmen im Bereich Cybersecurity. Das Internet ermöglicht Angriffe gegen unsere Unternehmen von jedem Ort der Welt. Alle Internet-Nutzer der Welt können zumindest potentiell versuchen, Daten zu stehlen oder unsere Unternehmen zu infiltrieren. Je mehr Geschäft online stattfindet, umso mehr lockt es potentielle Angreifer. Die Angreifer wollen schnell Geld machen, sei es durch die Erpressung oder durch Verkauf oder Nutzung der gestohlenen Daten. Zur Zeit ist es auch ein relativ leicht “verdientes Geld”. Die Hauptrisiken sind derzeit aus meiner Sicht vor allem 1. Unterbrechung der wichtigen Geschäftsprozesse (DDOS mit Erpressung), 2. Malware-Infektion (Infiltration des Unternehmens mit diversen Absichten oder Ramsonware), 3. Online-Fraud, Betrug (CEO Fraud, Rechnungen mit gefälschten Bankkontodaten, …), 4. Datendiebstahl. Die Erpressungsversuche mit Ramsonware und DDOS sind aktuell sehr populär. Solche Angriffe kosten den Angreifer fast nichts, auf jeden Fall viel weniger als der Schaden, den sie anrichten. Angreifer nutzen hier die vorhandenen Botnetze und die Schwäche der Cybersecurity in vielen Unternehmen aber auch Anonymität, die z.B. Bitcoin-Zahlung garantiert.

Ich möchte hier auch auf das Problem des Identitätsdiebstahls hinweisen. Die Zahl der gestohlenen Identitäten ist erschreckend hoch und beträgt für das Jahr 2016 mehr als eine Milliarde. Jede dieser gestohlenen Identitäten kann (und wird in vielen Fällen bereits) für Angriffe gegen die Unternehmen genutzt werden.

Inwieweit verändert sich der rechtliche Rahmen?

Der Gesetzgeber ist in letzter Zeit sehr aktiv und sorgt mit diversen gesetzlichen Initiativen für mehr Sicherheit. Es ist eine klare Tendenz erkennbar, Schutz der Daten und Schutz gegen Cyber Kriminalität mit rechtlichen Maßnahmen zu verbessern. Hier kann man in erster Linie zwei Gesetze der EU erwähnen: Datenschutzgrundverordnung (EU-DSGV) und Network & Information Security (NIS). EU-DSGV betrifft alle Unternehmen, die personenbezogene Daten verarbeiten, also praktisch alle. Bis 25. Mai 2018 haben Unternehmen Zeit, sich auf das neue Gesetz vorzubereiten. EU-DSGV zwingt alle Unternehmen – unter Androhung extrem hohen Strafen – den Schutz der Daten natürlichen Personen zu garantieren.

Für NIS wird derzeit die österreichische Fassung unter dem Namen Cybersecurity Gesetz vorbereitet. Das Ziel ist hier, den Schutz kritischer Infrastruktur (also Infrastruktur, die für normales Funktionieren der Gesellschaft extrem wichtig ist) zu erhöhen. Provider der kritischen Infrastruktur, aber auch Unternehmen aus einigen anderen Branchen, die für Online-Wirtschaft wichtig sind, werden verpflichtet, ihre Netze gut zu schützen und im Falle eines Vorfalls die Behörde darüber zu informieren.

Man muss hier auch die vielen regulativen Sicherheitsvorgaben in diversen Branchen erwähnen, wie Telekommunikation, Energie oder Banken. Heutzutage sind Unternehmen zunehmend mit gesetzlichen oder regulativen Sicherheits-Vorgaben und Auflagen konfrontiert.

Die CISOs haben den Ruf, Innovationen zu verhindern, Arbeitsabläufe zu erschweren und sind generell eher lästig – Muss das so sein?

Nein, es muss nicht so sein.

Auf einer Seite besteht das Problem darin, dass viele Unternehmen noch nicht erkannt haben, wie wichtig die Daten und deren Verfügbarkeit für den Erfolg des Unternehmens sind. Der CISO sieht schon viele Gefahren kommend, die die anderen im Unternehmen derzeit ignorieren oder bagatellisieren. Trotz der vielen Angriffe, die fast täglich stattfinden, wollen sehr viele Unternehmen die Gefahr noch nicht wahrnehmen. Erst wenn Unternehmen merken, wie viel Geld dabei verloren gehen kann, beginnt das Umdenken. Anderseits erschweren sehr oft Sicherheitsmaßnahmen die Flexibilität der Arbeit. CISOs haben in der Vergangenheit auch zu oft versucht, alle möglichen Sicherheitsmaßnahmen zu etablieren, auch Maßnahmen, die schon etwas veraltet oder nachweislich wenig erfolgreich waren.

Wie kann man es also ändern? Die gute Cybersecurity-Strategie muss von dem ganzen Unternehmen und hier vor allem von den Geschäftsführern und Vorständen getragen werden. Jedes Unternehmen muss sich die Frage stellen, wie viel Sicherheit benötigt wird. Und ob es bereit ist, gewisse aus Sicherheit resultierende Einschränkungen im Kauf zu nehmen. Man darf dabei nicht vergessen, dass es keine 100%-ige Sicherheit gibt und Kosten mit dem Grad der Sicherheit steigen. Jedes Unternehmen sollte also aus der Business-Perspektive entscheiden, wie viel Sicherheit absolut notwendig und akzeptabel ist. Das verbleibende Risiko muss man dann akzeptieren. Wenn so eine Cybersecurity-Strategie von CISO mit dem Business gemeinsam ausgearbeitet wird, wird die Akzeptanz der sich daraus ergebenden Maßnahmen kein großes Thema sein.