Cert: Deutschland braucht ein unabhängiges digitales Notfallteam

Bisher gibt es in Deutschland kein nationales Cert, dabei wäre es nicht schwer zu erschaffen. Ein neu geschaffenes Cert müsste jedoch eine klare Distanz zu Regierungsstellen wahren, um ernst genommen zu werden - eine lösbare Aufgabe.

Artikel von Isabel Skierka/GPPi und Mirko Hohmann veröffentlicht am
Deutschland muss noch ohne nationales Cert auskommen.
Deutschland muss noch ohne nationales Cert auskommen. (Bild: Citizen Corps/CERT/Public Domain)

Ende des vergangenen Jahres versetzten Hinweise auf eine Kooperation zwischen dem FBI und einem der bekanntesten US-amerikanischen IT-Sicherheitsteams die Netzgemeinde in Aufruhr. Demnach sollen Forscher des renommierten Cert/CC dem FBI dabei geholfen haben, das Anonymisierungsnetzwerk Tor zu hacken. Kernaufgabe von Teams wie Cert/CC, sogenannten Computer Emergency Response Teams (Certs), ist es jedoch eigentlich, Computernetzwerke vor Sicherheitsvorfällen zu schützen.

Inhalt:
  1. Cert: Deutschland braucht ein unabhängiges digitales Notfallteam
  2. Politische Interessen können auf Kosten der Netzwerksicherheit gehen

Gerade Cert/CC gilt unter den Hunderten von Certs weltweit als zentrale Anlaufstelle für die transparente Offenlegung von Sicherheitslücken. Sollte es nun für das FBI eine Schwachstelle in der Tor-Software ausgenutzt haben, wirft das essentielle Fragen über die Kooperation von IT-Sicherheitsexperten mit staatlichen Akteuren wie Strafverfolgungsbehörden oder Geheimdiensten auf - vor allem, wenn solche Kooperationen auf Kosten der Internetsicherheit geschlossen werden. Auch die deutsche Politik muss diese Fragen aufgreifen und die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des darin ansässigen Cert-Bunds klar definieren.

Internationaler Austausch über Sicherheit muss sein

Certs spielen im Bereich der IT-Sicherheit eine wichtige Rolle. Sie schützen nicht nur die Netzwerke einzelner Organisationen, sondern koordinieren die Lösung von IT-Sicherheitsvorfällen über Organisations- und Ländergrenzen hinweg.

Immer mehr Länder bauen nun nationale Certs auf, die die heimische Wirtschaft, Internetanbieter und manchmal auch Nutzer bei der Lösung von IT-Sicherheitsvorfällen unterstützen und relevante Informationen austauschen. Sie kooperieren mit inländischen Organisationen und Unternehmen und sind auch nationale Kontaktstelle für Certs aus dem Ausland.

Um globale Angriffe auf Computernetzwerke zu bekämpfen, müssen Experten Informationen wie Angriffsmuster, Schadsoftware-Proben, Daten über Schwachstellen oder Mittel und Taktiken zur Behebung von Sicherheitsvorfällen kontinuierlich international austauschen. Ein nationales Cert ist daher mittlerweile zu einem Grundbaustein für die effektive Koordination von IT-Sicherheitsmaßnahmen jedes Landes geworden.

Ein deutsches nationales Cert hätte eine Doppelrolle

Deutschland betreibt bisher noch kein nationales Cert, sondern nur eines, das für den Schutz von Regierungs- und Behördennetzwerken zuständig ist. Es heißt Cert-Bund und ist im BSI angesiedelt. Im Kontext der mit dem IT-Sicherheitsgesetz beschlossenen Meldepflicht könnte ein nationales Cert Teil der Meldestelle von IT-Sicherheitsvorfällen für Betreiber kritischer Infrastrukturen im BSI werden. Mit mehr Personal und zusätzlichen Kompetenzen ließe sich Cert-Bund zu einem nationalen Cert ausbauen. Als nationales Team würde Cert-Bund dann allerdings eine Doppelrolle erfüllen müssen.

Es müsste nicht nur für den Schutz von Regierungsnetzwerken zuständig, sondern auch eine unabhängige Anlaufstelle für Wirtschaft und Bürger bei IT-Sicherheitsvorfällen sein. Als eine dem BSI und damit dem Innenministerium unterstehende Regierungsorganisation könnte es diese Unabhängigkeit, insbesondere von Strafverfolgungsbehörden und Geheimdiensten, nicht unbedingt gewährleisten.

Im angemessenen rechtlichen Rahmen ist eine Zusammenarbeit zwischen Certs mit Regierungsakteuren zwar zu begrüßen. Certs kooperieren zum Beispiel weltweit immer häufiger mit Strafverfolgungsbehörden, um Onlinekriminelle zu fassen oder die Quellen von Schadsoftware auszuschalten. Komplizierter wird es aber, wenn Strafverfolgungsbehörden oder auch Geheimdienste Certs - wie im Fall von Cert/CC - unter Druck setzen, um deren technische Dienste oder Informationen zur Durchsetzung nationaler Sicherheitsinteressen einzusetzen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Politische Interessen können auf Kosten der Netzwerksicherheit gehen 
  1. 1
  2. 2
  3.  


oborgers 12. Jan 2016

Oder man besucht halt das https://www.buerger-cert.de/ ...... Es gibt bereits CERTs in...

Kleba 11. Jan 2016

Ich denke der Artikel stellt eine Diskussionsgrundlage für die Zukunft da. Wenn nun in...

StainBase 11. Jan 2016

Chaos Emergency Response Team

Friedrich.Thal 11. Jan 2016

in neu gegründeten Inteligenzbolzencentern, die sich durch nationales Kompetenzgerangel...



Aktuell auf der Startseite von Golem.de
Intel Core i9-14900KS
Intel ist wahnsinnig geworden - zum Glück!

Um den Core i9-14900KS zur schnellsten Allround-CPU zu machen, hat Intel den Weg der Vernunft scheinbar vollständig verlassen. Doch dahinter stecken gute Neuigkeiten für Intel-Kunden.
Ein IMHO von Martin Böckmann

Intel Core i9-14900KS: Intel ist wahnsinnig geworden - zum Glück!
Artikel
  1. Elektromobilität: Warum der Elektroauto-Hype erst anfängt
    Elektromobilität
    Warum der Elektroauto-Hype erst anfängt

    In den vergangenen Wochen konnte man den Eindruck gewinnen, als sei das Elektroauto schon abgeschrieben. Doch das scheint eine typisch deutsche Debatte zu sein.
    Eine Analyse von Friedhelm Greis

  2. Ane Maersk: Methanolbetriebener Containerfrachter kommt nach Hamburg
    Ane Maersk
    Methanolbetriebener Containerfrachter kommt nach Hamburg

    Schiffe sollen sauberer werden. Die dänische Reederei Maersk macht vor, wie das gehen kann.

  3. Bundesnetzagentur: Registrierung von Balkonkraftwerken wird einfacher
    Bundesnetzagentur
    Registrierung von Balkonkraftwerken wird einfacher

    Die Bundesnetzagentur will schon bald weniger Daten bei der Registrierung von Balkonkraftwerken erheben. Weitere Vereinfachungen stehen bevor.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • Palit 4070 Super 579,95€ • Xbox-Controller ab 39,99€ • AVM Fritzbox + Repeater -30% • DVDs & Blu-rays -31% • EA -75% • Ubisoft -50% • MindStar: AMD Ryzen 9 7900 339€, MSI RTX 4080 Super Ventus 3X OC 1.099€ • Gratis-Zugaben PS5 Slim & Nintendo Switch OLED beim TV-Kauf [Werbung]
    •  /