Mikko Hypponen: Drei Arten von Online-Angriffen

In den 80er Jahren, im kommunistischen Ostdeutschland, musste man, wenn man eine Schreibmaschine besaß, diese bei der Regierung registrieren. Sie mussten auch ein Blatt mit Beispieltext aus dieser Schreibmaschine registrieren. Der Grund dafür: die Regierung konnte zurückverfolgen, wo ein Text herkam. Fanden sie einen Artikel mit falschem Gedankengut, konnten sie den Urheber dieser Gedanken aufspüren. Und wir im Westen konnten nicht verstehen, wie irgendjemand so etwas tun könnte, und wie sehr das die Redefreiheit einschränken würde. In unseren eigenen Ländern würden wir so etwas nie tun.

Aber wenn Sie heute im Jahr 2011 einen neuen Farblaserdrucker von den führenden Laserdruckerfabrikanten kaufen und eine Seite ausdrucken, dann hat diese Seite helle gelbe Flecke auf jeder Seite aufgedruckt, in einem Muster, das die Seite eindeutig auf Sie und Ihren Drucker rückverfolgen lässt. Das passiert uns heute. Und darüber scheint sich niemand aufzuregen. Und das war ein Beispiel, auf welche Weise unsere eigenen Regierungen die Technologie gegen uns, die Bürger, einsetzen. Und das ist eine der drei Hauptquellen von den heute existierenden Online-Problemen.

Schauen wir uns einmal an, was wirklich auf der Welt passiert: Wir können die Angriffe in Kategorien aufteilen. Wir haben drei Hauptgruppen. Es gibt Online-Kriminelle. Zum Beispiel hier, das ist Herr Dimitry Golubow aus Kiew in der Ukraine. Und die Motive von Online-Kriminellen sind sehr leicht zu verstehen. Diese Leute verdienen Geld. Sie verwenden Online-Angriffe, um viel Geld zu verdienen, einen riesigen Haufen Geld. Es gibt mehrere bekannte Fälle von Online-Millionären, Multimillionären, die ihr Geld durch Angriffe verdient haben. Das hier ist Wladimir Tsastsin aus Tartu in Estland. Das ist Alfred Gonzalez. Stephen Watt. Björn Sundin. Das sind Matthew Anderson, Tariq Al-Daour und so weiter und so fort.

Diese Leute sind online zu Reichtum gekommen, aber sie haben es illegal erworben, indem sie z.B. Trojaner eingesetzt haben, um Geld aus unseren Bankkonten zu klauen, während wir unser Online-Banking erledigen, oder auch Keylogger, die unsere Kredikarteninformationen bei der Eingabe über die Tastatur gesammelt haben, während wir über einen infizierten Computer online einkaufen. Der US-amerikanische Geheimdienst fror vor zwei Monaten das Schweizer Konto von Herrn Sam Jain hier ein, und auf diesem Konto waren 14,9 Millionen US-Dollar, als es eingefroren wurde. Herr Jain selbst ist auf freiem Fuß, der Aufenthaltsort ist unbekannt. Und ich behaupte, dass es heute wahrscheinlicher ist, dass wir Opfer eines Online-Verbrechens werden, als eines Verbrechens in der realen Welt. Und es ist sehr offensichtlich, dass dies nur noch schlimmer werden wird. In der Zukunft werden sich die meisten Verbrechen online abspielen.

Die zweitgrößte Angreifergruppe, die wir heute beobachten können, sind nicht durch Geld motiviert. Sie sind durch etwas anderes motiviert - Proteste etwa, eine Meinung, oder durch ihr Publikum. Gruppen wie Anonymous sind über die letzten 12 Monate aufgestiegen und sind zu einem der Hauptspieler auf dem Feld der Online-Angriffe geworden.

Das sind also die drei Hauptangriffsgruppen: Kriminelle, die es des Geldes wegen tun, Hacktivisten wie Anonymous, die damit Widerstand leisten, aber die letzte Gruppe sind Nationen, Regierungen, die die Angriffe leiten. Da liegen uns Fälle vor, wie der von DigiNotar. Es zeigt beispielhaft, was passiert, wenn Regierungen ihre eigenen Bürger angreifen. DigiNotar ist ein Vollmachtszertifikat aus den Niederlanden – bzw. war es das. Im letzten Herbst musste es Insolvenz anmelden, denn DigiNotar war gehackt worden. Jemand war eingebrochen und hatte das System gründlich gehackt. Und letzte Woche in einem Treffen mit niederländischen Regierungsvertretern stellte ich einem der Leitenden dieser Gruppe die Frage, ob er es für möglich hielte, dass aufgrund des DigiNotar-Hacks Leute gestorben waren. Und seine Antwort war "Ja".

Nun, wie sterben Leute in Folge eines solchen Hacks? DigiNotar ist eine Zertifizierungsstelle. Sie verkaufen Zertifikate. Was macht man mit Zertifikaten? Nun, ein Zertifikat benötigt man, wenn man eine Webseite mit HTTPS, mit SSL-verschlüsselten Diensten hat, zum Beispiel Gmail. Nun verwenden wir alle, oder viele von uns, Gmail oder einen ihrer Konkurrenten. Doch diese Dienste sind besonders verbreitet in totalitären Staaten wie dem Iran, wo Dissidenten ausländische Anbieter wie Gmail verwenden, da sie wissen, dass sie denen mehr vertrauen können als lokalen Anbietern und dass sie über SSL-Verbindungen verschlüsselt sind, so dass die lokale Regierung nicht in ihren Gesprächen herumschnüffeln kann. Können sie aber doch, wenn sie sich in eine ausländische Zertifizierungsbehörde hacken und gefälschte Zertifikate ausstellen. Und genau das ist im Falle von DigiNotar passiert.

Wie verhält es sich mit dem arabischen Frühling und den Dingen, die zum Beispiel in Ägypten passiert sind? Nun, in Ägypten plünderten die Aufständischen im April 2011 das Hauptquartier der ägyptischen Geheimpolizei. Und dabei fanden sie eine Menge Akten. In diesen Akten befand sich ein Ordner namens "FINFISHER". Und in diesem Ordner befanden sich Notizen einer in Deutschland ansässigen Firma, die der ägyptischen Regierung ein paar Programme verkauft hatten, mit denen sie – in sehr großem Rahmen – jegliche Kommunikation der ägyptischen Bürger abfangen konnten. Sie hatten dieses Programm für 280.000 Euro an die ägyptische Regierung verkauft. Das Firmenhauptquartier ist genau hier.

Also versorgen westliche Regierungen totalitäre Regierungen mit Hilfsmitteln, damit die gegen ihre eigenen Bürger vorgehen können. Aber westliche Regierungen helfen sich auch selbst. Zum Beispiel in Deutschland nur vor ein paar Wochen der sogenannte Staatstrojaner gefunden. Das war ein Trojaner, der von deutschen Regierungsvertretern verwendet wurde, um ihre eigenen Bürger zu bespitzeln. Wenn Sie in einem Kriminalfall verdächtigt werden, dann wird mit ziemlicher Sicherheit Ihr Telefon angezapft. Aber heute sind wir weit jenseits dessen. Sie zapfen Ihre Internetverbindung an. Sie verwenden Mittel wie den Staatstrojaner, um Ihren Computer mit einem Trojaner zu bespielen, der es ihnen erlaubt, Ihre gesamte Kommunikation zu überwachen, Ihre Online-Diskussionen abzuhören, Ihre Passwörter zu sammeln.

Wenn wir also weiter über solche Dinge nachdenken, dann wäre die offensichtliche Antwort der Leute: "Ok, das klingt schlecht, aber es betrifft mich ja nicht, weil ich ein braver Bürger bin. Ich muss mir keine Sorgen machen! Ich habe nichts zu verstecken." Und diese Argumentation ergibt keinen Sinn. Privatsphäre muss gegeben sein. Privatsphäre steht nicht zur Debatte. Es ist keine Entscheidung zwischen Privatsphäre und Sicherheit. Es ist eine Entscheidung zwischen Freiheit und Kontrolle. Und während wir heute, im Jahr 2011, unseren Regierungen vertrauen mögen, ist doch jedes Recht, das wir abgeben, für immer abgegeben. Und vertrauen wir, vertrauen wir blind einer jeden zukünftigen Regierung, einer Regierung, die wir vielleicht in fünfzig Jahren haben werden? Das sind die Fragen, mit denen wir uns die nächsten 50 Jahre beschäftigen müssen.