„Der Staat lässt die Muskeln spielen“
Düsseldorf Ob es die NSA war? Oder doch ein anderer Geheimdienst? Das lässt sich heute kaum noch nachvollziehen. Auf einmal standen jedenfalls einige Zeilen im Programmcode, die da nicht hingehörten. Im Dezember machte der Netzwerkausrüster Juniper öffentlich, dass ein Betriebssystem für Firewalls jahrelang zwei Hintertüren enthielt. Wer sie kannte, konnte bei tausenden Geräten den verschlüsselten Datenverkehr überwachen.
Das US-Unternehmen hat die Sicherheitslücken inzwischen geschlossen. Doch der Fall illustriert ein grundsätzliches Problem. Spätestens mit den Snowden-Enthüllungen ist klar geworden, dass Geheimdienste in aller Welt großen Aufwand betreiben, um Regierung, Ministerien und Behörden auszuspionieren.
Dem soll ein Riegel vorgeschoben werden. Seit März müssen die Lieferanten von Hardware staatlichen Kunden in Deutschland schriftlich zusichern, dass ausgelieferte Geräte „frei von Schaden stiftender Software“ sind, es also zum Beispiel keine Zugriffsmöglichkeiten für Geheimdienste geben darf.
Hackerangriffe auf staatliche Einrichtungen
Mit Hochdruck arbeiten nun IT-Dienstleister und Hardwarehersteller daran, die Folgen der Regelung herauszuarbeiten. Eines ist mittlerweile klar: Mehr Transparenz bedeutet auch mehr Kosten. Und: Auch wenn viele deutsche Unternehmen zusichern, dass ihre Geräte die Bedingungen erfüllen, in dem von vielen ausländischen Anbietern geprägten IT-Markt wird so mancher mit der neuen Vorschrift hadern. „Aus Gesprächen in der Branche wissen wir, dass nicht alle Hersteller so einfach in der Lage sein werden, ihren Partnern und Kunden die Backdoor-Freiheit ihrer Produkte zu garantieren“, sagt Ralf Koenzen, Gründer und Geschäftsführer des deutschen Router-Spezialisten Lancom: „Die neuen Vertragsbedingungen sind für sie eine harte Nuss.“
Der Staat gehört zu den größten Kunden der Technologiebranche. 2013 gaben Bund, Ländern und Kommunen nach einer Schätzung des Digitalverbands Bitkom 20,4 Milliarden Euro für IT und Telekommunikation aus. Aktuelle Zahlen liegen nicht vor, die Summe dürfte in den nächsten Jahren aber deutlich steigen: So will Bundesregierung die vielen Rechenzentren der Bundesverwaltung in einer „Bundes-Cloud“ bündeln.
Bei der Beschaffung stellen die Behörden allgemeine Geschäftsbedingungen auf, im Juristendeutsch „Ergänzende Vertragsbedingungen für die Beschaffung von IT-Leistungen“, kurz EVB-IT. Wenn ein Dienstleister wie Bechtle, Computacenter oder T-Systems ein System installiert, muss er also gewährleisten, dass keine der Komponenten heimlich und unerwünscht Daten überträgt. Passiert das doch, muss er nachbessern. Erst wenn das nicht gelingt, droht eine Rückabwicklung des Vertrags. Damit handelt es sich um eine vergleichsweise weiche Regelung. Eine härtere Formulierung, etwa in Form einer Garantie, konnte die IT-Branche in den Verhandlungen jedoch verhindern.
Das Bundesinnenministerium hofft, „dass die neuen Bedingungen künftig zu noch mehr Aufmerksamkeit für IT-Sicherheitsinteressen der öffentlichen Hand führen – auch in den Lieferketten“, wenn IT-Dienstleister sich bei ihren Zulieferern absichern. Die Behörde sieht in den neuen Verträgen daher einen „Baustein von mehreren für mehr IT-Sicherheit, der allein nicht schon ausreicht, auf den allerdings auch nicht verzichtet werden sollte“.
Die Branche hingegen hadert mit der neuen Vorschrift. Durch die Klausel würde ein erheblicher Aufwand entstehen, heißt es etwa bei T-Systems. Vor allem aber: Der Verkäufer werde – abweichend vom gesetzlichen Leitbild — in eine Haftung für Aussagen des Lieferanten beziehungsweise den Eigenschaften eines von ihm nicht hergestellten Produkts genommen. Sprich: Wie kann man für etwas garantieren, was andere zugeliefert haben.
„Die Regelungen können zu mehr Transparenz führen“, sagt Steven Handgrätinger, Leiter des Geschäftsbereichs öffentliche Auftraggeber bei Bechtle. Denn wenn der Bieter die Haftung übernehme, müsse er die Lieferanten genauer überprüfen. Das macht Arbeit und Kosten. „Wir werden in den Beschaffungsprozess einen Mechanismus integrieren, der die Qualität dieser Hersteller sicherstellt“, so Handgrätinger.
Hinzu kommt: Kein noch so gut formulierte Mustervertrag wird unbemerkte Sicherheitslücken wie im Fall Juniper ausschließen können. Dafür ist IT zu komplex: „Es handelt sich um ein strukturelles Problem“, sagt Felix Zimmermann, Bereichsleiter „Public Sector“ beim Bitkom. IT könne unterschiedlich genau überprüft werden, 100prozentige Sicherheit gebe es aber nicht.
Die neue Regelung sei daher eher eine Aufforderung an die IT-Branche und den Staat, sich an ein „gemeinsames Verständnis von IT-Sicherheit heranzupirschen“. Das bedeutet auch für die öffentliche Hand mehr Arbeit: „Wer IT-Sicherheit fordert, muss sie auch bewerten können“, sagt Zimmermann. Damit das schnell gehe, benötigten die Behörden ausreichend fachkundiges Personal.
Firmen wie Lancom indessen hoffen nun auf zusätzliche Aufträge. Der Netzwerkausrüster ließ gleich nach dem Beschluss des IT-Planungsrates wissen, dass er sich „bereits vor vielen Jahren“ öffentlich verpflichtet habe, Produkte „frei von jeglichen versteckten Zugangsmöglichkeiten zu halten“.
9 Security-Mythen, die Sie kennen sollten
Auch der Halbleiter-Spezialist Infineon versicherte umgehend, schon immer die neuen Anforderungen zu erfüllen. Mit dem Siegel „IT Security made in Germany“ will auch der Bundesverband IT-Sicherheit Teletrust die Vertrauenswürdigkeit dokumentieren: Erhalten können es Anbieter, die ihren Hauptsitz hierzulande haben, vertrauenswürdige IT-Sicherheitslösungen anbieten und die außerdem Forschung und Entwicklung in Deutschland betreiben.
Doch auch erste Unternehmen aus dem Ausland haben reagiert. Huawei etwa hat nach eigenen Angaben schon in der Vergangenheit regelmäßig erklärt, dass die eigenen Produkte keine Hintertüren enthalten – „gerade weil wir in der Vergangenheit immer wieder mit ungerechtfertigten Vorwürfen konfrontiert wurden“. Bei Bedarf werde man auch die Verträge von IT-Ausrüstern anpassen. Ähnlich sieht es bei Nokia und Ericsson aus: Falls nötig, geben sie gegenüber Systemhäusern eine Erklärung ab.
Ob die neuen Beschaffungsbedingungen deutschen Unternehmen helfen werden, ist daher fraglich. Bechtle jedenfalls schließt seinerseits keinen Lieferanten grundsätzlich aus, solange der eine entsprechende „Eigenerklärung zu unserer Absicherung“ vorlegen könne, erklärt Handgrätingert. Der Manager rechnet damit, dass alle Hardwarehersteller eine entsprechende Erklärung abgeben. Ohne diese „schließen sie sich bei Aufträgen quasi selbst aus“. Ob solche durchgereichten Erklärung am Ende wirklich helfen - keiner weiß es.
Wie die Hacker zum Ziel kommen
