Suchergebnisse

Elections to the European Parliament (EP) will take place in May 2019. Politicians and experts fear that the election process might be disrupted by disinformation campaigns and cyber attacks. In December 2018, the European Commission presented an action plan against disinformation. It provided 5 million euros for raising awareness amongst voters and policymakers about manipulation, and for increasing the cyber security of electoral systems and processes. The strategy relies on voluntary and non­binding approaches by Internet companies to fight disinformation. To protect the integrity of elections in the medium term, independent research into technical, legal and market-regulating reforms must be boosted. The objective should be to preserve the functionality of democracies and elections in the age of digitalisation.

Krisen und Katastrophen verändern sich stetig — sowohl in der Wahrnehmung als auch in der Bewältigung. Seit mehr als zehn Jahren analysiert das Deutsche Rote Kreuz mit seinem Kompetenzzentrum »Forschung und Innovationstransfer« bestehende Hilfeleistungssysteme. Matthias Max und Matthias Schulze präsentieren die Ergebnisse dieses Prozesses und zeigen, dass das DRK einen wichtigen Beitrag dazu leistet, Hilfeleistungssysteme der Zukunft zu gestalten.

In September 2017 the EU updated its 2013 Cyber Security Strategy. The new version is intended to improve the protection of Europe's critical infrastructure and boost the EU's digital self-assertiveness towards other regions of the world. But the reformed strategy leaves open a number of questions as to how its objective of an 'open, safe and secure cyberspace' will be credibly defended, both internally and externally. The EU has neither properly defined resilience or deterrence nor made sufficiently clear how it intends to overcome institutional fragmentation and lack of legal authority in cybersecurity issues. Moreover, controversial topics – such as the harmonisation of criminal law or the use of encryption - have been entirely omitted. Member states should abandon their stand-alone efforts and speed up the legal regulation of cybersecurity at the EU level.

Im September 2017 hat die EU ihre Strategie zur Cybersicherheit aus dem Jahr 2013 aktualisiert. Damit soll Europas kritische Infrastruktur besser geschützt und die digitale Selbstbehauptung gegenüber anderen Weltregionen befördert werden. Doch die erneuerte Strategie lässt Fragen offen, wenn es darum geht, die selbstgesetzten Ziele eines 'offenen, freien und sicheren Cyberraums' nach innen wie außen glaubhaft zu vertreten. Weder formuliert die EU eine klare Definition von Widerstandskraft und Abschreckung, noch wird deutlich genug, wie die institutionelle Fragmentierung und rechtliche Unverbindlichkeit in Cybersicherheitsfragen auf EU-Ebene überwunden werden sollen. Zudem bleiben kontroverse Themen ausgespart, wie die Harmonisierung des Strafrechts oder die Nutzung von Verschlüsselung. Die Mitgliedstaaten sollten ihre nationalen Alleingänge aufgeben und die gesetzliche Regulierung zur Cybersicherheit auf Ebene der Union beschleunigen.

Offensive Militärische Cyber-Operationen (OMCO) sind - anders als in populären Darstellungen oft behauptet - keine Allzweckwaffe. Sie unter­liegen zahlreichen strategischen, operativen und taktischen Begrenzungen, die sie für bestimmte Einsatzszenarien ungeeignet erscheinen lassen. Deutschland sollte auch in Zukunft daran festhalten, keine strategischen OMCO zu planen und zu entwickeln. Der strategische Einsatz von OMCO ist operativ zu aufwendig, extrem risikobehaftet und zudem der globalen Sicherheit des Cyber- und Informationsraums unzuträglich. Sehr limitierte und überschaubare Cyber-Operationen zur sequenziellen Begleitung von Kampfeinsätzen können bei hochtechnisierten Gegnern sinnvoll sein. Der größte Nutzen von OMCO liegt in ihrer Spionage­funktion und weniger in disruptiven, zerstörerischen militärischen Effekten. Für das typische Einsatzprofil der Bundeswehr, nämlich Konfliktmanage­ment in wenig digitalisierten Regionen mit schwacher Staatlichkeit, dürf­ten militärische Cyber-Operationen nur in wenigen Fällen einen militärischen Nutzen haben. Um effektiv zu sein, müssen OMCO auf Ziele exakt zugeschnitten sein. Bei einem OMCO-Einsatz zur Landesverteidigung müssen daher schon im Vorfeld und noch zu Friedenszeiten Zielinformationen beim potentiellen Gegner erhoben worden sein - mittels offensiver Cyber-Spionage in fremden Netzen. Diese Präemptionslogik erzeugt aber ein Sicherheits­dilemma bei potentiellen Gegnern und kann destabilisierend wirken. (Autorenreferat)

Sicherheitslücken in Hard- und Software sind ein globales, kollektives Pro­blem der Cyber-Sicherheit. Durch die fortschreitende Digitalisierung der Lebenswelt und digitale Rüstungswettläufe steigt die Verwundbarkeit, vor allem der Industriestaaten. Gleichzeitig beharren offensive Cyber-Akteure darauf, dass die Ausnutzung unbekannter sogenannter 0‑Day-Sicherheits­lücken für militärische Cyber-Operationen, aber auch zum Zweck der Spionage und der Strafverfolgung essentiell sei. Ein konstruktiver Umgang mit diesem Offensiv-defensiv-Dilemma, das sich für die Staaten beim Handling von 0-Day-Sicherheitslücken auftut, findet bisher in der deutschen Cyber-Sicherheitspolitik nicht statt. Die Bundesregierung sollte eine proaktivere Schwachstellen-Governance ent­wickeln. Sie sollte die Praxis der staatlichen Akquise und Verwendung von Sicherheitslücken überdenken, auf die Verkürzung der Lebenszeit von Schwachstellen hinarbeiten und die negativen Externalitäten einer offen­siven Cyber-Sicherheitspolitik reflektieren. Deutschland und die EU sollten statt Geheimhaltung einen offeneren Umgang mit Schwachstellen kultivieren. Dazu gehört die Einführung verpflichtender Meldeprogramme für private und öffentliche Organisationen, die Bereitstellung von Bug-Bounty-Plattformen und die Regulierung schwarzer Schwachstellenmärkte. (Autorenreferat)

Die IT-Sicherheit von Weltrauminfrastrukturen wird relevanter, während sich zahl­reiche Staaten einen neuen Wettlauf um das All liefern. Cyber-Operationen gegen entsprechende Ziele nehmen zu; so wurde etwa im Zuge des russischen Einmarschs in die Ukraine ein Kommunikationssatelliten-Netzwerk von Hackern angegriffen. Regie­rungen sollten daher Mindeststandards für die IT-Sicherheit im Weltraum definieren; ebenso gilt es, frühzeitig einen Informationsaustausch zwischen Staaten und privaten Akteuren zu initiieren, was Cyber-Bedrohungen und "best practices" zur Härtung der Infrastrukturen betrifft. Innerhalb von EU und Nato könnten wechselseitig Daten über Bedrohungslagen weitergegeben werden; ebenso ist die Schaffung von Computer Emergency Response Teams zu erwägen. Auch mit "Hacking-Wettbewerben" und ge­meinsamen Übungen ließe sich dazu beitragen, die IT-Sicherheit im All zu verbessern. (Autorenreferat)

Homomorphe Verschlüsselung stellt einen nächsten Evolutionsschritt der Krypto­grafie dar. Mit dieser Technologie können Datenbanken erstmals verschlüsselt ge­nutzt werden. Auch eröffnen sich mit ihr zahlreiche neue Möglichkeiten im Bereich Multi-Cloud-Computing und Machine Learning. Zudem hat homomorphe Krypto­grafie politische Implikationen. Die Technologie ist zentral für die Sicherheitspolitik, etwa beim Datenaustausch zwischen Sicherheitsbehörden. Neue Multi-Cloud-Geschäfts­modelle könnten zudem neue Abhängigkeiten erzeugen, etwa von den USA, wo bereits an einer Standardisierung gearbeitet wird. Um nicht abgehängt zu werden, sollte die EU die Anwendungsforschung fördern und homomorphe Verschlüsselung bei den Planungen für die eigene Cloud-Initiative Gaia-X frühzeitig miteinbeziehen. (Autorenreferat)

Während Ransomware-Angriffe immer professioneller werden, haben viele Organisa­tionen grundlegende IT-Sicherheitshausaufgaben noch immer nicht gemacht. Auf­grund der effektiven Untergrundökonomie der Cyber-Kriminellen ist dem Problem auch nicht mehr allein mit technischen Maßnahmen beizukommen. Die neue Bundes­regierung sollte es mit erhöhter Priorität und einer gesamtstaatlichen Perspektive angehen. Neben Präventionsmaßnahmen sollten auch für Organisationen in der Breite Pläne zur Reaktion und Wiederherstellung erstellt werden. Außerdem ließen sich Instrumente nutzen, die etwa bei der Bekämpfung von organisierter Kriminalität, Terrorismus oder Finanzkriminalität und sogar in der Entwicklungshilfe ein­gesetzt werden. Schließlich müssten multilaterale Initiativen zur Eindämmung von Cyber-Kriminalität und Geldwäsche mit Kryptowährungen gestärkt werden. (Autorenreferat)

Befürworter offensiver Cyber-Operationen argumentieren, dass sie abschreckend auf etwaige Cyber-Angreifer wirken könnten, da die Angreifer mit einem digitalen Gegen­schlag rechnen müssten. Diese Vorstellung, die für die neue US Cyber-Doktrin von 2018 bestimmend war, schwingt implizit auch in der Debatte über digitale Gegen­angriffe in Deutschland mit. Diesem Kalkül liegt jedoch eine verkürzte Vorstellung von Abschreckung zugrunde. Abschreckung per Androhung von Vergeltung funktioniert im digitalen Raum nach anderen Prinzipien als etwa nukleare Abschreckung. Probleme der Attribution, Demonstration, Kontrollierbarkeit und Glaubwürdigkeit digitaler Fähigkeiten erhöhen die Gefahr, dass Abschreckung scheitert. Daher wäre die deutsche Cyber-Sicherheitspolitik gut beraten, die defensive Cyber-Sicherheit und die Robustheit (Resilienz) von Systemen zu steigern. (Autorenreferat)

Gegenwärtig werden wieder Forderungen nach einem Verbot illegaler Bereiche im Internet -sogenannter Dark Nets- laut. Im Entwurf des Bundesinnenministeriums für das neue IT-Sicherheitsgesetz soll das "Zugänglichmachen von Leistungen zur Begehung von Straftaten" über internetbasierte Dienste unter Strafe gestellt werden. In der öffentlichen Wahrnehmung dominieren insbesondere die negativen Aspekte des Dark Nets: illegaler Waffen- und Drogenhandel, Cyber-Kriminalität und Kinderpornografie. Neuere Daten zeigen jedoch, dass die Bedrohungen, die vom Dark Net ausgehen, weitaus geringer sind als häufig angenommen. Daher ist zu fragen, ob ein Verbot dieser Technologie sinnvoll, ohne negative Kollateraleffekte umsetzbar und zudem verhältnismäßig ist. Statt das Dark Net als solches verbieten zu wollen, sollte der Fokus darauf gerichtet werden, in neuen Ermittlungstechniken zu schulen und die internationale Kooperation bei der Strafverfolgung zu intensivieren. Dies wäre eine nachhaltige Lösung, da diese Fähigkeiten auch im Kampf gegen das weitaus grö­ßere Problem -Cyber-Kriminalität im regulären Internet- von Nutzen wären. (Autorenreferat)

Proponents of active, offensive cyber operations argue that they could have a deter­rent effect on potential cyber attackers. The latter would think twice about attacking if a digital counter-attack might be the consequence. The idea that offensive cyber capabilities should have a deterrent effect was one reason why the new US cyber doctrine was adopted in 2018. The same assumption is implicit in the debate about cyber counterattacks ("hack backs") in Germany. Yet these assessments are based on a superficial understanding of deterrence. Cyber deterrence by the threat of retaliation works differently than that of nuclear deterrence. Problems of attribution, displays of power, controllability and the credibility of digital capabilities increase the risk of deterrence failure. Thus, the German cyber security policy would be well advised to increase its "deterrence by denial", cyber security and the resilience of its systems. (Autorenreferat)