Sicherheit ist ohne Vertrauen undenkbar. Vertrauen muss aber kontrolliert werden!

 

Sicherheit ist ohne Vertrauen undenkbar. Es klingt wie ein Wiederspruch ist aber keiner. 

Wir merken oft gar nicht, wie stark unsere Sicherheit auf Vertrauen aufgebaut ist. Wir glauben, dass wir mit den vielen Sicherheitsrichtlinien und Sicherheitstools die Sicherheit der Daten und Infrastruktur garantieren können. Hintern der Sicherheitstools agieren aber Unternehmen, denen wir vertrauen (müssen). 

Die modernen Sicherheitstools selbst basieren sehr oft auch auf dem Prinzip Vertrauen (genannt Reputation). Diese Tools lasen zum Beispiel den Datenverkehr von den Domänen mit guter Reputation durch und blockieren alles andere. Für einen zuverlässigen Schutz gegen Cyberangriffe haben wir also keine andere Wahl und müssen den Hersteller der Sicherheitstools vertrauen. 

Es ist also sehr beunruhigend, wenn wir in letzter Zeit Berichte lesen, wonach eben manche Hersteller der Sicherheitstools durch Hacker erfolgreich angegriffen wurden. Das ist vor kurzem Sophos passiert - Hacker stahlen dort eine gewisse Menge der Kundendaten. Die neuesten beunruhigenden Nachrichten betreffen Diebstahl der „Red Team Tools“ bei FireEye und die Hack-Angriffe rund um Solarwinds. Brad Smith, Präsident bei Microsoft, bezeichnet den SolarWind-Hack als „an attack on the trust and reliability of the world’s critical infrastructure“ und schreibt im Microsoft-Blog unter anderen folgendes dazu:

„It’s critical that we step back and assess the significance of these attacks in their full context. This is not “espionage as usual,” even in the digital age. Instead, it represents an act of recklessness that created a serious technological vulnerability for the United States and the world. In effect, this is not just an attack on specific targets, but on the trust and reliability of the world’s critical infrastructure in order to advance one nation’s intelligence agency. While the most recent attack appears to reflect a particular focus on the United States and many other democracies, it also provides a powerful reminder that people in virtually every country are at risk and need protection irrespective of the governments they live under.„

Es gibt auch eine exzellente Zusammenfassung des Angriffs gegen  SolarWinds von Bruce Schneier.

Bruce Schneier meint, dass trotz des enormen offensiven Potentials der USA im Cyberspace, Schwächen in dem supply chain von kritischen Software-Produkten können nicht nur die Sicherheit der USA bedrohen. Es ist eine große Gefahr für den globalen Frieden. Schneier schreibt:   

„We need to invest in securing the world’s supply chains from this type of attack, and to press for international norms and agreements prioritizing cybersecurity ... Hardening widely used software like Orion (or the core internet protocols) helps everyone. We need to dampen this offensive arms race rather than exacerbate it, and work towards cyber peace.“

Ich hoffe, dass alle Sicherheitsunternehmen, jetzt alles Notwendige tun werden, um die so wichtige Vertrauensbasis wieder zu stärken. 

Aber auch Anwender müssen ihre Cybersecurity-Strategie überdenken. Empfehlenswert ist die Anwendung der „assume breach“ und defense-in-depth Philosophie als Basis für alle Cybersecurity-Maßnahmen. Bruce Schneier zitiert eine Aussage von Ken Thompson: „You can’t trust code that you did not totally create yourself“, die recht gut zu der „assume breach“-Philosophie passt. Besonders wichtig ist die lückenlose Überwachung der Netzwerk- und Computeraktivitäten, um Anomalien zu finden. Einige wichtige Hinweise von Microsoft für dementsprechende Gestaltung der Cybersecurity kann man in „Microsoft Security Best Practices“ finden. 

• Microsoft Security Best Practices - https://docs.microsoft.com/en-us/security/compass/compass
• Stellungnahme von Brad Smith zu SolarWind Hack - https://blogs.microsoft.com/on-the-issues/2020/12/17/cyberattacks-cybersecurity-solarwinds-fireeye/
• Bruce Schneier über SolarWind-Hack .- https://www.schneier.com/blog/archives/2020/12/russias-solarwinds-attack.html
• Bruce Schneier über Code-Kontrolle - https://www.schneier.com/blog/archives/2021/01/injecting-a-backdoor-into-solarwinds-orion.html

Es gibt noch immer zu viele nicht gepatchte Systeme

 Das Beseitigen der Sicherheitsschwachstellen (Patchen) ist eine verdammt schwierige Aufgabe. Obwohl es schon sehr gut bekannt ist, das nicht gepatchte Schwachstellen wie eine offene Tür für die Angreifen sind, sind die meisten Unternehmen bei dem Patchen nicht schnell genug. Das ist gut in dem "Teenable Threat Report 2002" zu sehen. Besonders bedenklich ist, dass unter den 5 Top Vulnerabilities 2 schon seit 2019 und eine sogar seit 2018 bekannt sind. Für diese Vulnerabilities gibt es schon sehr lange patches, die bei sehr vielen Unternehmen noch immer nicht eingespielt sind. Die von Jahr zu Jahr längere Berichte über die erfolgreiche Angriffe sind leider in vielen Fällen Konsequenz der Versäumnisse beim Patchen.

Ein Mitarbeiter von Tenable beschreibt die Lage so:

"Every day, cybersecurity professionals in the world are faced with new challenges and vulnerabilities that can put their organisations at risk. The 18,358 vulnerabilities disclosed in 2020 alone reflects a new normal and a clear sign that the job of a cyber defender is only getting more difficult as they navigate the ever-expanding attack surface," 

#cybersecurity

https://www.theregister.com/2021/01/14/tenable_threat_report_2020/

Langsame Corona-Kontaktverfolgung mangels Digitalisierung

Ja, der Komplexitätsforscher Stefan Thurner hat leider recht. Er meint in diesem Artikel, dass

"Das Contact-Tracing funktioniert nicht im gewünschten Ausmaß. Es ist einfach zu langsam. Verdachtsfälle warten viel zu lange auf die Tests und auf die Ergebnisse"

Wir sprechen zwar ununterbrochen über Digitalisierung aber die tägliche Praxis sieht ganz anders aus. Bei der Bekämpfung der Pandemie nutzen wir nur recht primitive traditionelle Methoden. Telefon und Papier sind die Hauptmittel. Die Registrierung-Zettel in der Gastronomie sind ein Zeugnis unserer Hilflosigkeit und Scheinaktivitäten. Alle derzeit eingesetzten Mittel sind viel zu langsam und können die Ausbreitung der Pandemie nicht effizient bremsen. 

Ja, wir sind als Gesellschaft noch Meilenweit von Digitalisierung entfernt. Wir leben und leider wie es scheint wollen leben in der digitalen Steinzeit. Die Diskussionen über den Einsatz der Digitalisierung für Bekämpfung der Pandemie - im März, April wurde noch vehement darüber diskutiert - sind sehr selten geworden. Es scheint, dass wir uns mit der katastrophalen Lage abgefunden haben. Statt einen Ausweg zu suchen warten wir passiv auf einen Impfstoff. 

Viele asiatischen Länder, wie Taiwan, Südkorea oder Japan, haben von Anfang an auf die Corona Tracing Apps gesetzt. Damit sind sie in der Lage die Kontakte der Infizierten blitzschnell herauszufinden und die Pandemie sehr effizient zu kontrollieren. Der Vergleich der Infektionszahlen zeigt eindeutig das westliche Versagen. In Europa sind die Corona Tracing Apps auf totale Ablehnung gestossen, weil sie angeblich unsere Privatheit so stark einschränken würden. Das behaupten nach wie vor Viele trotz zahlreichen positiven Überprüfungen der Arbeitsweise dieser Apps. 

Für eine Illusion der Privatheit und Freiheit ist es uns lieber, wenn unsere Wirtschaft komplett zusammenbricht, unsere Krankenhäuser völlig überlastet sind und viele Menschen unnötig sterben. Für unsere irrationale Einstellung sind wir bereit, die jetzige wirtschaftliche Position des Westen zu gefährden und zuzuschauen, wie die Asiaten uns auf dem Weg in die digitale Zukunft hinter sich in der digitalen Steinzeit lassen.

Digitale Wirtschaft oder Datenschutz?

Das EuGH-Urteil zu Datentransfers ins Ausland zeigte deutlich die logischen Schwächen von DSGVO in den Regelungen, die den internationalen Datentransfer betreffen. DSGVO bietet dafür die sogenannten Standardvertragsklauseln, in denen ein Auftragsverarbeiter sich zur Einhaltung der DSGVO-Bestimmungen verpflichtet. Diese Verpflichtung ist aber gegenstandslos, wenn die nationalen Gesetze den Auftragsverarbeiter zu laut DSGVO unerlaubter Weitergabe der Daten an die Behörde zwingen. DSGVO hat also mit Standardvertragsklauseln ein Scheinmittel geschafft, welches nicht das Papier wert, auf dem es geschrieben ist. 

Die Verfasser von DSGVO haben mit Standardvertragsklauseln eine scheinbare Datensicherheit geschaffen und dabei die volle Verantwortung für den internationalen Datentransfers auf die betroffenen Unternehmen geschoben. Die zuständigen Datenschutzbehörden mussten die gesetzliche Lage in aller Länder der Welt analysieren und entsprechende Empfehlungen oder sogar Verbote aussprechen. Das würde für Unternehmen eine rechtliche Klarheit schaffen. Es kann nicht so sein und macht auch keinen Sinn, dass jedes Unternehmen selbst entscheiden muss, ob die Nutzung von Microsoft Teams oder Slack gesetzeskonform ist, weil die Daten in der USA verarbeitet werden.

Nach diesem EuG-Urteil sind alle nationalen Datenschutzbehörden in Panik versetzt. EuG hat sie zur Handlung gezwungen. Sie müssen jetzt eindeutig festlegen, ob Standardvertragsklauseln noch ein gesetzeskonformes Mittel für den Schutz der Daten bei Transfer ins EU-Ausland sind.

Dieser Fall zeigt auch, wie dramatisch die nationalen Datenschutzbehörden mit der Bewertung der Lage überfordert sind. Das Verfahren gegen Facebook bei der irischen Datenschutzbehörde dauerte 7 Jahre! Es ist eine Ewigkeit für die digitale Wirtschaft. 

Die Frage nach der Wirksamkeit von DSGVO ist also in dieser Situation absolut berechtigt. Hat DSGVO den Datenschutz tatsächlich verbessert oder nur Formalismen (Verträge, Einwilligung, Begründung, …) geschafft? Haben die Unternehmen die Art wie sie personenbezogene Daten verarbeiten, tatsächlich verändert oder nur formell (Vertrag, Einwilligung, Begründung, …) scheinbare Gesetzeskonformität geschafft?

Was bringt uns ein sehr kompliziertes Gesetz, welches eher einen scheinbaren Datenschutz schafft und gleichzeitig die digitale Wirtschaft bremst?

Mehr über dieses EuG-Urteil und seine Konsequenzen kann man in diesem Heise-Artikel finden.

Slack verbessert Zusammenarbeit über die Firmengrenzen hinweg

Ein neuer Service von Slack, Slack Connect, ermöglicht leichtere Zusammenarbeit über die Grenzen eines Unternehmens hinweg. Mitarbeiter von bis zu 20 unterschiedlichen Organisationen können im Slack Connect an gemeinsamen Projekten arbeiten. Damit adressiert Slack ein wirkliches Problem aller Kollaboration-Tools. Man benötigt ein Konto bei jedem Unternehmen, um an gemeinsamen Projekten zu arbeiten. Man muss dann ständig zwischen einem Konto und anderen in dem gleichen Tool umschalten, um auf Projektdaten zuzugreifen und an den Chats teilzunehmen. Slack Connect sollte dafür eine Erleichterung verschaffen.

Slack verspricht auch die Abschaffung von E-Mail. Slack Connect ist laut dem Unternehmen ein wichtiger Schritt in diese Richtung. Email wird aber sicher auch Slack Connect überleben. Nicht einmal WhatsApp, welches kostenlos für alle verfügbar ist, hat geschafft, SMS vollständig zu ersetzen. SMS wird noch immer von vielen Leuten benutzt, weil es eine universelle Kommunikationsmethode ist, die jedem Smartphone-Benutzer zur Verfügung steht. 

Ja, ein Teil der Kommunikation wird sich sicherlich zu den Kollaboration-Tools verlagert. Sehr viele Kommunikationspartner, mit denen man Informationen austauschen will, sind aber nur über E-Mail erreichbar. Weder Slack noch andere solche Tools sind jetzt und werden in naher Zukunft von wirklich allen Menschen benutzt. E-Mail bleibt also noch länger mit uns, weil es ein universelles Kommunikationsmedium ist. Leider gibt es für Kollaboration keinen solchen offenen Standard, welches die Zusammenarbeit aus unterschiedlichen Tools ermöglichen würde. 

Individuelle Freiheit oder Allgemeinwohl?

Es gibt recht viele Initiativen, die versuchen moderne Technologie in den Kampf gegen Corona-Virus einzusetzen. Dabei meine ich nicht nur die Suche nach einem Impfstoff oder Medikament gegen den SARS-CoV-2 Virus. Es gibt unzählige Ideen und Ansätze für die Nutzung der Technologie für Kontrolle der Verbreitung von SARS-CoV-2 Virus und Messung der Wirksamkeit ergriffenen Maßnahmen. Gerade jetzt, wenn in einigen Länder die Lockdown-Bestimmungen gelockert werden, brauchen wir mehr Sicherheit für das neue Leben mit dem SARS-CoV-2 Virus. Es ist unwahrscheinlich, dass die drei von Regierungen empfohlene Maßnahmen (Tragen von Schutzmasken, Physical Distancing und Hygiene) den erneuten Ausbruch der Pandemie vollständig verhindern können. Bei den Technologie-Initiativen kann man zwei wichtige Stoßrichtungen erkennen: 1. Verfügbarkeit der statistischen Daten und Auswertungen und 2. Contact Tracing.

Verfügbarkeit der statistischen Daten

Die Verfügbarkeit des Datenmaterials ist entscheidend für alle weiteren Maßnahmen. Sowohl in USA als auch in Europa werden dafür Plattformen gegründet, die alle verfügbaren Daten über Pandemie sammeln und allen Interessierten diese Daten zur Verfügung stellen. Die europäische Plattform COVID-19 Data Portal wird von der europäischen Kommission zur Verfügung gestellt. Das amerikanische COVID Tracking Project publiziert sehr umfangreiche Informationen über Testing-Ergebnisse in amerikanischen Bundesstaaten. Sogar Microsoft hat gerade eine Open Data Initiative  gestarted. Das Unternehmen sagt "wir glauben fest, dass alle von der Nutzung und dem Austausch öffentlich zugänglicher Daten profitieren können" und ist auch bereit eigene Daten den Dritten zur Verfügung zu stellen. 

Eine gute Lösung, Rt.live, für die Überwachung der effektiver Infektionsrate (Rt) haben Gründer von Instagram in einem Rekordtempo entwickelt. Dafür wurde auch ein recht gutes statistisches Model entwickelt, der auf GitHub zur Verfügung gestellt wurde. Rt.live zeigt wie schnell sich der Corona-Virus in den Bundesstaaten verbreitet und welche Tendenz (steigend oder fallend) sich daraus ergibt. Diese Daten kann man für Bewertung der Effizienz der gesetzten Maßnahmen nutzen. 

Contact Tracing

Inzwischen haben auch zwei Internet-Giganten das Thema Contact Tracing in Hände genommen. DieInitiative von Google und Apple für eine gemeinsame Entwicklung einer Contact Tracing App (zunächst kommt eine API) wird eine solide Basis für Contact Tracing garantieren. Eines ist bei dieser Kooperation von Google und Apple sicher. Sie kennen sich aus und beherrschen die dafür benötigte Technologie. Eine Überprüfung der Lösung gemäß der 10 Prüfsteine für die Beurteilung von „Contact Tracing“-Apps von Chaos Computer Club und Pepp-Pt Prinzipien halte ich jedoch als sinnvoll. Das Ziel von Google und Apple ist "Kraft der Technologie nutzen zu können, um Ländern auf der ganzen Welt zu helfen, die Ausbreitung von Covid-19 zu verlangsamen und die Rückkehr in den Alltag zu beschleunigen." Möge die Übung gelingen.

Auch die Initiative Pepp-Pt hat sich vor kurzem wieder zum Wort gemeldet. In einer Pressekonferenz hat der Sprecher der Organisation, Hans-Christian Boos, die aktuellen Entwicklungen präsentiert und auch die Ankündigung von Google und Apple kommentiert. Hans-Christian Boos sagte, dass etliche Regierungen beabsichtigen, ihre Contact Tracing Apps auf den Pepp-Pt Prinzipien zu bauen - “We now have a lot of governments interacting. Some governments are publicly declaring that their local applications will be built on top of the principles of PEPP-PT and also the various protocols supplied inside this initiative."

Auch Europäisches Parlament appelliert an die EU-Kommission und die Mitgliedsstaaten, dass die Contact Tracing Apps vollkommen transparent sein müssen - “mus be fully transparent on the functioning of contact tracing apps, so that people can verify both the underlying protocol for security and privacy and check the code itself to see whether the application functions as the authorities are claiming.”

Die Wissenschaftler, wie der Professor Christophe Fraser (Nuffield Department of Medizine von University of Oxford) arbeiten derzeit intensiv an Optimierung der Infektionsprognose. Die dazu verwendeten Algorithmen müssen eine sehr gute Treffquote erreichen - “It’s really important that if you’re going to do an intervention that is going to affect millions of people — in terms of these requests to [quarantine] — that that information be the best possible science or the best possible representation of the evidence at the point at which you give the notification. And therefore as we progress forwards that evidence — our understanding of the transmission of the virus — is going to improve. And in fact auditing of the app can allow that to improve, and therefore it seems essential that that information be fed back.”

Es gibt auch eine grundsätzliche Diskussion über die zentrale (ein großer Teil der Daten wird auf den zentralen Server gespeichert) oder dezentrale (alle Daten bleiben auf dem Smartphone) Methode von Contact Tracing. Apple und Google haben eine komplett dezentrale Lösung vorgeschlagen. Auch eine andere Initiative, Decentralized Privacy-Preserving Proximity Tracing – DP-3T, hat eine dezentrale Lösung beschrieben. Pepp-Pt will aber beide Lösungen anbieten und will darüber auch mit Google und Apple sprechen.

Individuelle Freiheit oder Allgemeinwohl?

Contact Tracing ist die am meisten umstrittene Technologie in Westeuropa, über die ich hier schon berichtet habe. Es gibt bei vielen von uns sehr große Befürchtung, dass solche Apps der erste Schritt zu dem kompletten Verlust unserer Freiheit und Einführung totaler Überwachung sind. Wir stehen hier also von einer grundlegenden Entscheidung, einer sozusagen "sein oder nicht sein?" Entscheidung. Shelly Fan beschreibt diese Herausforderung in guten Singularityhub-Artikel so "contact tracing has always teetered on the line between individual freedom and the good of the general public; the stigmatization of a viral scarlet letter versus keeping others safe; the price of health data sharing versus societal responsibility ... Digital contact tracing may ignite every freedom, privacy, and independence fiber in your body in protest. Tech giants and government alike haven’t helped build a foundation of trust or respect for our private data. But without doubt, digitization is the way of the future." 

Es tut sich also im Technologie-Umfeld einiges. Ich bin zuversichtlich, dass daraus bald eine sinnvolle Lösung für das Leben mit dem SARS-CoV-2 Virus entstehen wird.  

Trotz toller Apps ist Verwaltung der Informationen zunehmend chaotisch

Die Innovation im Bereich der Chat-, Collaboration- und Video-Conferencing-App bekommt in Zeiten von Home Working einen zusätzlichen Antrieb. Ganz neue Ansätze für spontane, intuitive Zusammenarbeit werden sowohl für die private als auch berufliche Verwendung entwickelt. Die Menge der neuen Apps ist erdrückend. 

Viele von diesen Apps befolgen zwar ein sehr gutes Prinzip, die Gesamtheit der Kommunikation zu erfassen und strukturiert darzustellen. Das würde super funktionieren, wenn alle die eine konkrete App nutzen würden. Leider unsere Ansprechpartner bevorzugen oder nutzen ganz unterschiedliche Apps für die Kommunikation und Collaboration. Auch wenn ein Unternehmen sich für eine App entscheidet, muss es in der Kommunikation mit Kunden und Partner zwangsweise oft andere Apps nutzen. 

Ein Nachteil dieser Entwicklung ist, dass die Menge der Apps, die wir für die Kommunikation mit unterschiedlichen Partner benötigen, wächst kontinuierlich. Und damit wird die Verwaltung der Informationen nicht besser, sondern zunehmend chaotischer. 

Was wir dringend brauchen sind Apps, die die in vielen von uns benutzten Collaboration-Apps verstreuten Informationen an einer Stellen zusammen. Oder noch besser Wäre, wenn alle diese Apps sich auf universelle Protokolle einigen würden, die eine App2App Collaboration ermöglichen würden.