Mein oder nicht mein? : Warum digitale Souveränität zur Managementdisziplin werden muss

Von Ramon Mörl, München

Digitale Souveränität ist begrifflich nicht klar definiert. In diesem Beitrag wird ein Akteur im Cyber-Raum als digital souverän bezeichnet, wenn er seinen Willen eigenständig durchsetzen, kein Angreifer, Hacker oder Hersteller etwas dagegen unternehmen kann und sich das Ergebnis sicher kontrollieren lässt.

An vielen Stellen ist das längst nicht mehr gegeben: Nur weil man sein Handy „ausgeschaltet“ hat, muss das nicht heißen, dass man darüber nicht mehr abgehört werden kann. Die Pegasus-Papers haben unlängst deutlich gezeigt, wie einfach sich Smartphones missbrauchen lassen (vgl. etwa https://en.wikipedia.org/wiki/Pegasus_Project_(investigation)): Die professionelle Spyware lässt sich teils von außen ohne das Wissen des Nutzers installieren – die Zielperson kann dann über Handy-Kamera und -Mikrofon ausspioniert werden. Auch im „ausgeschalteten“ Zustand bleiben Überwachungsmöglichkeiten, die der Nutzer nicht mittels digitaler Mechanismen abschalten oder kontrollieren kann. Diese Einschränkung seiner Souveränität wird dem Nutzer beim Kauf oder bei der Inbetriebnahme „natürlich“ nicht vermittelt – erst lange danach erfährt er es womöglich aus der Fachpresse. Und Akkus herauszunehmen ist schon länger keine technische Option mehr.

Vor einigen Jahren haben Hacker in den USA demonstriert, dass sie über eine Fernsteuerung den Motor eines Jeeps ausschalten können – auch mitten auf dem Highway und ohne, dass der Fahrer das verhindern kann (https://youtu.be/ysAam9Zmdv0). Kürzlich hat ein 19-Jähriger aus Bayern gezeigt, dass er Zugriff auf einige Steuerfunktionen (wie das Öffnen des Fensters) in Tesla-Fahrzeugen bekommen kann, ohne dazu berechtigt zu sein oder überhaupt zu wissen, wem das Fahrzeug gehört. Einmal geeignet im System verankert, kann ein Angreifer in den meisten Fällen auch verhindern, dass man später den hilfreichen Patch, der solche Angriffe verhindern soll, wirksam installiert.

Kamera und/oder Mikrofon könnten etwa auch in einen Staubsaugroboter eingebaut werden, um darüber ermittelte Daten gewinnbringend im Zuge der Datenökonomie zu verkaufen. Solche Staubsauger ließen sich im Markt deutlich günstiger anbieten, weil durch den Verkauf der Daten ja separat Umsatz entsteht. Wer informiert den Kunden in so einer Situation und wie kann der Kunde für sich bewerten, wie viel Nachlass es ihm „wert ist“, wenn in seiner Wohnung permanent mitgehört wird?

Beeinträchtigungen der digitalen Souveränität betreffen aber längst nicht nur einzelne, private Nutzer: Nicht nur durch die sogenannte Consumerization der Firmen-IT, „Bring you own Device“ (BYOD), das Arbeiten in Homeoffice oder (halb-)öffentlichen Umgebungen, sondern auch durch nicht-souveräne Unternehmens Systeme (egal ob Auto, Handy, Netzwerktechnik, Software, Patchverfahren, Fernwartung oder Cloud-Services) schlagen alle diese Risiken im professionellen Umfeld ebenfalls zu Buche.

Die Diskussion um digitale Souveränität soll Besitzern und Betreibern vor Augen führen, an welchen Stellen ihre Souveränität im digitalen Raum reduziert ist und – falls möglich – Handlungsoptionen aufzeigen, wie sie diese Souveränität zurückgewinnen können.

Unübersichtliche Baukästen

Sehr viele Produkte enthalten heutzutage immer mehr digitale Elemente, die über längere Lieferketten bezogen und integriert werden und besonders durch die Vernetzung Mehrwerte und Kosteneinsparungen
erbringen. Ein Überblick ist dadurch für den Betreiber aber nahezu unmöglich – das Risiko von Angriffen signifikant erhöht. Daten werden zudem häufig aus unbekannten oder unsicheren Systemen bedenkenlos übernommen und man verlässt sich gern darauf, dass schon jeder alles richtig macht – dabei können Daten oder fremde IoT-Devices immer auch Schadcode enthalten.

Bei vielen Produkten ist die Nutzung fast vollständig von der in den Systemen integrierten IT abhängig – sodass letztlich der Schutz dieser IT die Grundvoraussetzung dafür schafft, diese Produkte auch wirklich wie geplant nutzen zu können. Ob Mobilfunkgeräte, Autos, Flugzeuge, ICEs, Smart-Home-Produkte, Features der Smart City oder einfach nur vernetzte IoT-Devices – all das sind Beispiele von Produkten, deren Nutzung immer mehr von IT-Komponenten abhängt.

Wie können Händler oder Betreiber den Nutzer darüber informieren, mit welchen „Unsouveränitäten“ oder Risiken er rechnen muss? Ohne dass der Betreiber oder Händler detailliert über alle verbauten Subsysteme informiert ist, scheint das unmöglich. Heartbleed und log4j sind zwei Beispiele, wie kleine „Standardkomponenten“ die souveräne Nutzung eines Gesamtsystems verhindern.

Ohne Details aus den Lieferketten keine Risikoeinschätzung

Erst wenn dem Betreiber alle Risiken bekannt sind, kann er selbst seine Haftungsszenarien einschätzen, den Nutzer in dessen „Sprache“ über Restrisiken informieren und im Fall der Fälle spontan geeignete Maßnahmen ergreifen.

Erst wenn ein digitales Element in die Nutzung geht oder der Integrator die intendierte Nutzung kennt, wird die Kritikalität dieses Teilsystems sichtbar. Die Herausforderung für das Management besteht also darin, die Kritikalität einzelner Komponenten vorab zu definieren und Teilkomponenten und ihre Lieferwege mit der geeigneten Vertrauenskette in der Beschaffung und den richtigen Meldewegen für Vorfälle auszustatten.

Im Zuge der Betrachtung digitaler Souveränität (DS) sollte man versuchen, durch die Identifikation nicht souveräner Bereiche die mit der fehlenden Souveränität verbundenen Risiken und ihre Auswirkungen zu erkennen und in ein Managementprozess zu überführen. Das Ergebnis kann Teil des Risiko- (RiskM) oder Business-Continuity-Managements (BCM) oder anderer Disziplinen sein. Eine fehlende Souveränität in einem Bereich ist dabei unproblematisch, wenn hierdurch kein Risiko entsteht.

DS-Management

Digitale Souveränität ist kein definierter, erreichbarer Endzustand, sondern beschreibt den Wunsch nach einem selbstbestimmteren Handeln im Cyber- und Informationsraum (CIR). Dieser Selbstbestimmung stehen verschiedenste Bedrohungen und damit verbundene Risiken im Weg, die zum einen durch Katastrophen, aber auch durch mutwillig von Dritten herbeigeführte oder als Kollateralschäden in Kauf genommene Ereignisse eintreten können.

Risiken aus der digitalen Souveränität können über Haftungsszenarien sehr einfach auf Hersteller und Lieferanten durchschlagen. Abbildung 2 zeigt, wie sich das Management der digitalen Souveränität in einer Organisation oder für ein Produkt prinzipiell durchführen lässt.

Beteiligte am Managementprozess

Innerhalb einer Organisation sind nicht nur die Positionen CSO, CIO, CISO, Riskmanager und BCM einzubeziehen, sondern auch Einkauf, Rechtsabteilung, Business-Owner und viele weitere. Dies zum einen, um die Risiken zu identifizieren, aber auch um die geeignete Minimierung oder Mitigation monetär bewerten zu können. Auch wenn dieser Prozess bereits sehr komplex ist, müssen für das Management der digitalen Souveränität die gesamte Lieferkette mit ihren unterschiedlichen Organisationen sowie der jeweils gültige Rechtsrahmen der in globalen Lieferketten Handelnden berücksichtigt werden. In jeder Organisation sind dabei wieder die aufgeführten Ansprechpartner relevant.

Die Anteile des BCM haben dabei häufig auch mit der Verfügbarkeit von Waren zu tun, wie 2021 durch Lieferkettenunterbrechungen und Pandemiefolgen deutlich wurde. Die digitalen Anteile im Risikomanagement folgen hingegen den bekannten Teilthemen Verfügbarkeit, Integrität und Vertraulichkeit – allerdings erweitert um zusätzliche Facetten wie zum Beispiel die Beweisbarkeit.

Hierarchie der Managementmechanismen

Im Zusammenhang zwischen dem Ökosystem „Lieferkette“ und dem Risikomanagement sieht der Autor Letzteres klar als die Top-Disziplin. An zweiter Stelle steht die digitale Souveränität, um Bordmittel so zu gestalten, wie es dem jeweiligen Bedarf entspricht, ohne dass Dritte den eigenen Cyber-Raum stören könnten. Als Drittes folgt die Cyber-Sicherheit, deren Schutzmechanismen das Risiko reduzieren, nicht arbeitsfähig zu sein.

Die bekannten Mechanismen der Cyber-Security sind ebenfalls probate Mittel, um die Ziele der digitalen Souveränität zu erreichen: Entnetzung oder Isolation, also das Abkoppeln von anderen Netzen oder Informationsquellen (bes. ggü. dem Internet) ermöglichen es, ein mit hohen Risiken eingestuftes System, bei dem die digitale Souveränität nicht den eigenen Wünschen entspricht, zumindest für eine Übergangszeit so zu betreiben, dass die IT-Ziele – wenn auch eventuell mit Abstrichen (z. B. in Performance oder Ergonomie) – erfüllt, aber die Risiken unkontrollierbarer Eingriffe durch Dritte auf ein erträgliches Maß reduziert werden können.

Transparenz und Information zu Risiken

Normalerweise ist die Kommunikation nach außen in einer Organisation klar definiert – nicht jeder ist berechtigt, über potenzielle Risiken in den hergestellten Produkten oder erbrachten Services beliebig gegenüber Kunden oder der Öffentlichkeit zu sprechen. Transparenz hat in Fragen digitaler Souveränität jedoch einen hohen Wert und in einigen Regionen sind Teile solcher Kommunikation sogar bereits staatlich reguliert (vgl. z. B. das IT-Sicherheitsgesetz 2.0 in Deutschland).

Neben vorgesehenen Kommunikationskanälen kommen aber zunehmend auch anonyme oder sogar durch Gesetze geschützte Kanäle hinzu – etwa das sogenannte Whistleblowing. Je anonymer ein Kanal ist, umso mehr müssen natürlich eine Metrik und ex ante ein Prozess definiert und etabliert werden, um die Glaubwürdigkeit solcher anonym eingebrachten Informationen bewerten zu können.

Hintertüren und „Mehrwerte“

In der Welt der Datensammler hat es sich eingebürgert, Produkte – auch Hardware – gegebenenfalls günstiger anzubieten, wenn diese Daten zur Nutzung und über die Nutzer sammeln können („Daten- und Internet Ökonomie“). In den meisten Beschaffungsvorgängen von Standardhardware werden solche „Zusatzfunktionen“ nicht explizit unter Strafe ausgeschlossen, sodass es gut sein kann, dass ein verbautes Element „von sich aus“, im Eigeninteresse des Herstellers, wichtige Informationen nach außen liefert.

Die Daten- und Internet-Ökonomie treibt jedoch eigene Märkte an, sodass auf den ersten Blick günstige oder sogar kostenfreie Angebote mit Bewegungsdaten, persönlichen oder Unternehmensdaten „bezahlt“ werden, ohne dass der Anwender darüber informiert ist oder wird.

In Europa erfolgt die Beschaffung traditionell über Merkmale, die das Produkt haben soll (Leistungspunkte), und solche, die zum Ausschluss führen – darauf basierend ermittelt man das beste Preis-/Leistungsverhältnis. Diese Vorgehensweise ist immer schlecht für die digitale Souveränität, denn der Nachweis, dass Hintertüren oder unsichtbare „Mehrwerte“ enthalten sind, kann entweder gar nicht erbracht werden, oder die vereinbarten Pönale sind gering im Vergleich zu dem Gewinn, der mit der gesammelten Information erzielt wurde.

Aus Sicht der Integrität schädliche Veränderungen können natürlich auch nachträglich ohne Wissen des Herstellers (z. B. auf dem Transportweg) als Patch auf die Firmware eingebracht werden, wenn kein geeigneter Schutz dagegen besteht – siehe etwa „BadUSB“ [3,4,5].

Infiltration von Lieferketten

In vielen digitalen Nutzungsszenarien sind Basiselemente, wie zum Beispiel Bluetooth-Chips, verbaut. Diese Chips sollen gerade die Möglichkeit haben, nach außen zu kommunizieren – aber, so möchte man annehmen, nur kontrolliert und wenn der Besitzer/Anwender das wünscht. Mit einer im Chip oder in der Firmware eingebauten Hintertür lässt sich diese Kommunikationsfähigkeit aber auch ohne Wissen des Anwenders von außen aktivieren.

Werden etwa für eine sicherheitskritische Verwendung 10 000 Geräte ausgeschrieben und später bestellt, müsste auch deren Lieferant zur Fertigstellung der Lieferung seinerseits im Markt die benötigten Bauteile (z. B. Bluetooth-Chips) bestellen – 10 000 oder mehr. Es bedarf keiner intensiven Aufklärung, um einzelne Komponenten, deren Lieferanten und Lieferwege herauszufinden. Im Markt sind verschiedene Verfahren bekannt, um mit dieser Information das Endprodukt in gewünschter Art zu modifizieren. So werden beispielsweise Fabriken, die nicht vollständig ausgelastet sind, mit einer Sonderschicht beauftragt, wobei sich die hergestellten Produkte in der digitalen Bestückung vom Standardmodell durch eine Hintertür oder einen digitalen „Mehrwert“ unterscheiden.

Das gleiche Ergebnis lässt sich erzielen, indem man Standardprodukte kauft, nachträglich anders digital bestückt und beispielsweise zu günstigeren Preisen in die Lieferkette einbringt. Hier ist etwa die Veränderung der genutzten Controller oder Firmware zu nennen, wie das von Carsten Nohl, Sascha Krißler und Jacob Lell in einem Vortrag auf der Black Hat 2014 beschrieben wurde [3] – diese Angriffsart ist als BadUSB bekannt und wurde 2015 auch auf dem BSI-Kongress diskutiert [4,5].

Qualitätsmanagementsysteme sind meist nicht darauf ausgelegt, mit dieser Bedrohung der digitale Souveränität umzugehen. Ein häufig verwendetes Konzept, um derartige Bedrohung zu minimieren, ist es, Bestellungen in unterschiedliche Lieferkanäle zu geben und von verschiedenen „Legal Entities“ aus zu organisieren. Leider verteuert dies den Prozess sowie die Einzelteile und schafft nur statistisch gesehen einen verbesserten Schutz. Je nach Architektur des digitalen Produkts kann es auch sein, dass schon ein einzelnes infiltriertes Gerät in der Lage ist, Daten aus allen anderen Geräten zu ermitteln und über die eigene Hintertür zu exfiltrieren, also auszuleiten. Insofern bedeutet eine statistische Verbesserung einzelner Bauteile oft keine Verbesserung des Gesamtsystems.

Multi-Sourcing erhöht häufig die Angriffsmöglichkeiten

Hat man eine Bewertung der Vertrauenswürdigkeit der Liefer- und Integrationskette nach den gängigen Sicherheitszielen Verfügbarkeit, Integrität und Vertraulichkeit durchgeführt, sieht man, dass ein einfaches Auf summieren von Sicherheitseigenschaften nicht ausreicht.

Ein Beispiel dazu: Ein Unternehmen kauft zwei Firewall-Systeme von zwei Herstellern, um „die Sicherheit“ des Gesamtsystems zu erhöhen. Diese Firewall-Systeme erhöhen nun die Integrität und Vertraulichkeit des Systems, indem man sie hintereinander „auf der gleichen Nutzleitung“ schaltet, da ein Angreifer ja beide Systeme überwinden muss, um in die Unternehmens-IT einzudringen. Auf der anderen Seite reduziert diese Nutzungsart jedoch die Verfügbarkeit, denn der Ausfall bereits eines der beiden Systeme macht die Kommunikation insgesamt unmöglich. Schaltet man die zwei Firewall-Systeme aber parallel, also auf zwei verschiedenen Zugangsstrecken in die Unternehmens-IT, erhöht man zwar die Verfügbarkeit, reduziert aber gleichzeitig Integrität und Vertraulichkeit.

Dass so etwas häufig gilt, sieht man auch, wenn man mehrere Verschlüsselungssysteme auf den gleichen Nutzdaten von mehreren Herstellern in ein System integrieren möchte, denn dann muss jedes Produkt auf alle Daten zugreifen können – eine Hintertür in einem einzigen Produkt gefährdet dann die Vertraulichkeit aller Daten.

Multi-Sourcing ist also kein geeignetes Mittel, für die Ziele Integrität und Vertraulichkeit – wird aber als Hilfe für die Erhöhung von Verfügbarkeit und gegen Monopolbildung wahrgenommen. Zu den benötigten Verfahren, um sich vor der Abhängigkeit von Monopolbildung zu schützen, gehört aber ein weites Spektrum an Möglichkeiten, das ein strategisches Management und einen detaillierten Überblick über ökonomische und technische Verflechtungen voraussetzt.

Vertrauenswürdigkeit digitaler Produkte und Lieferketten

Neben der Kenntnis was alles in einem fertigen Produkt verbaut ist, ist es auch notwendig zu verstehen, wie eine Komponente hergestellt wurde – vor allem, wenn sie Sicherheitseigenschaften des Gesamtprodukts liefern soll. Es ist unerlässlich, die Sicherheitseigenschaften von Teilkomponenten inklusive der Zusicherungen entlang des gesamten Lieferungs- und Herstellungsprozesses geeignet zu bewerten, da auch der verwendete Compiler oder die Laufzeitumgebung Einfluss auf die Integrität des Produktes haben.

Beispielsweise wäre es bei log4j notwendig gewesen, alle Verwendungen der betroffenen Software im Betrieb zu kennen – was leider nicht der Fall war, da diese Open-Source-Lösung zum Loggen von Anwendungsmeldungen in Java an vielen Stellen in zugelieferten Produkten genutzt worden wurde, ohne dass es Betreibern, Käufern oder Nutzern eines Endprodukts bekannt gewesen wäre. Der Nutzer oder Betreiber konnte also das schädliche Teilstück oft allein deshalb nicht isolieren, ersetzen oder patchen, weil er von dessen Existenz im Gesamtprodukt nichts wusste.

Erschwerend kommt zum Tragen, dass der bestehende Kosten- und Wirtschaftlichkeitsdruck und die Globalisierung in der Vergangenheit zu einer Spezialisierung vieler Unternehmen, einem hohen Time-to-Market-Druck und damit zu einer höheren Fragmentierung und Internationalisierung der Fertigungs- und Lieferketten geführt haben. Diese Ketten bestehen schließlich auch aus den Schritten vor und nach der Lieferung, der Integration und Inbetriebnahme eines Systems. Doch so lange man nicht genau weiß, welche Komponenten verbaut sind und wie diese verändert werden können, kann man die damit verbundenen Risiken nicht einschätzen und dadurch die eigene digitale Souveränität nicht managen.

Risiken in Lieferketten

Es gibt durchaus traditionelle Mechanismen, um Risiken in den Lieferketten bezüglich der Vertrauenswürdigkeit und Sicherheit gemäß eigener Interessen zu optimieren. Eine vertragliche Erhöhung der Haftung greift allerdings nicht in allen Rechtssystemen. Und bei eigenen Qualitätsprüfungen ist das Testen auf unbekannte Funktionen um den Faktor 10 bis 1000 teurer als das Testen auf die vereinbarte Funktionsfähigkeit. Insofern ist es extrem teuer, nachträglich auf Hintertüren oder unerwünschte Funktionen zu testen, zumal diese gegebenenfalls auch nur beim Vorliegen bestimmter Bedingungen aktiv sein können – beispielsweise abhängig von Zeitpunkten, Geolokationen, besonderem Nutzerverhalten oder anderen für einen Tester unerwarteten Situationen.

Oft ist es auch nachträglich gar nicht mehr möglich, in die verbauten Teile hineinzusehen oder diese zu prüfen, da man zum Beispiel bei besonders gegen Beschädigung durch Wasser, Stoß oder Umwelteinflüsse geschützten Geräten nachträglich nicht mehr auf die Einzelkomponenten zugreifen kann, ohne das System signifikant zu beschädigen.

Fazit

Aus Sicht der digitalen Souveränität ist die Freiheit von Hintertüren eine wesentliche Anforderung an digitale Zulieferungen, wobei das Risiko bei einer nicht vernetzten Kaffeemaschine naturgemäß geringer ausfällt als an einer offenen digitalen Car2Car-Schnittstelle.

Strategisch ist es aus Sicht der Haftung und der inhärenten Produkt-Risiken sinnvoll, die Lieferketten im Sinne der digitalen Souveränität zu modellieren und hierfür geeignete Eigenschaften von Produkten vorab zu definieren. Dadurch lässt sich die Erwartung an das Vertrauen der Zulieferungen ableiten und dann auch –
zumindet teilweise – vertraglich umsetzen. Im globalen Handel wird es jedoch immer auch Parameter geben, die in beteiligten Rechtsräumen vertraglich schlecht oder gar nicht umgesetzt werden können. An diesen Stellen könnte eine Regulierung – ähnlich wie die CE-Kennzeichnung – ein möglicher Weg sein.

Ramon Mörl ist Geschäftsführer der itWatch GmbH.

Literatur

[1] Bitkom, Digitale Souveränität: Anforderungen an Technologie- und Kompetenzfelder mit Schlüsselfunktion, Stellungnahme, Januar 2020, www.bitkom.org/sites/main/files/202001/200116_stellungnahme_digitale-souveranitat.pdf

[2] Bitkom, Kriterien zur Identifikation von digitalen Schlüsseltechnologien, Positionspapier, Februar 2022, www.bitkom.org/sites/default/files/2022-02/11022022-bitkom-kriterienkatalog-digitale-schlusseltechnologien.pdf

[3] Carsten Nohl, Sascha Krißler, Jacob Lell, BadUSB – On Accessories that Turn Evil, Black-Hat-Vortrag, August 2014, https://youtu.be/nuruzFqMgIw

[4] Ramon Mörl, BadUSB, vergleichbare Exploits – sinnvolle Verteidigungsstrategien, Vortragsfolien vom 14. Deutschen IT-Sicherheitskongress des BSI, Juni 2015, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Veranstaltungen/ITSiKongress/14ter/Vortraege-20-05-2015/Ramon_Moerl.pdf?__blob=publicationFile&v=1

[5] Ramon Mörl, Andreas Koke, BadUSB – aktuelle USB-Exploits und Schutzmechanismen, 2015, www.itwatch.de/content/download/1976/11986/file/BadUSB_aktuelle%20USB%20Exploits%20und%20Schutzmechanismen.pdf

[6] Ramon Mörl, Digitale Souveränität und die Einschätzung der Sicherheit von Lieferketten – eine Managementdisziplin, Problembeschreibung und Lösungsansätze, in: Bundesamt für Sicherheit in der Informationstechnik (Hrsg.), Cyber-Sicherheit ist Chefinnen- und Chefsache, Tagungsband zum 18. Deutschen IT-Sicherheitskongress des BSI, Februar 2022, ISBN 978-3-922746-84-3, online verfügbar via www.itwatch.de/content/download/2154/13588/file/Ramon%20M%C3%B6rl_Digitale%20Souver%C3%A4nit%C3%A4t_Buchbeitrag%20BSI%20Kongress%202022.pdf

[7] itWatch GmbH, Digitale Souveränität, Video zum Vortrag von Ramon Mörl auf dem 18. Deutschen IT-Sicherheitskongress des BSI, Februar 2022, https://youtu.be/5ZNxG5iRZlo