Arglose Benützer, Sicherheitslücken, Hintertüren

Am einfachsten gelingt der unbefugte Zugang zu einem Computersystem mit der Überlistung der Benutzer (schlechte Passwörter, Umleitung auf falsche Webseiten, unvorsichtig angeklickte Links in einem Mail etc.). Für anspruchsvolle Aufgaben stehen aber noch andere Mittel zur Verfügung. Programme, Betriebssysteme und die interne Firmware der Geräte sind nie fehlerfrei. Aus den Fehlern resultieren Sicherheitslücken, die sich nutzen lassen, um in die Systeme einzudringen. Manchmal werden Sicherheitslücken auch absichtlich eingebaut, um eine Hintertür zum System zu erhalten. So wurde bekannt, dass die amerikanische NSA in Router, die auf der ganzen Welt zur Weiterleitung des Datenverkehrs verwendet werden, ohne Wissen des Herstellers Schadsoftware einsetzen liess, um das Internet zu überwachen (NZZ Mai 1914).

Sicherheitslücken werden ‘aufbewahrt’

Nach solchen Lücken wird systematisch gesucht, sowohl von Hackern wie von Regierungsstellen. Die US-Regierung soll zur Zeit über etwa 50 kritische Sicherheitslücken verfügen, die sie ausnützen kann, sobald der Bedarf dafür besteht (NZZ Aug. 2016). Ein Teil dieser Sammlung fiel bei einem Angriff auf die NSA kürzlich in die Hände von Hackern, die sie jetzt im Darknet zum Kauf anbieten (FAZ Aug. 2016). Auch andere Regierungen und Hackergruppen horten derartige 'Schätze'.

Kein sicheres Computersystem

Niemand kann sich daher darauf verlassen, dass er über ein wirklich sicheres Computersystem verfügt. Banken und andere sicherheitskritische Unternehmen geben viel Geld dafür aus, sich vor Angriffen aus dem Internet zu schützen, und schaffen es dennoch nur begrenzt. (Sehr anschaulich: 'Wie Hacker eine Notenbank knacken', NZZ Okt. 2016.) Immer wieder werden grosse Datenlecks auch bei renommierten Unternehmungen bekannt. So sind kürzlich das schweizerische Verteidigungsministerium VBS, die Rüstungsfirma Ruag (NZZ Mai 2016) und sogar die amerikanische National Security Agency NSA (NZZ Aug. 2016) sowie die CIA (CIA-Leaks 2017) Opfer solcher Angriffe geworden. Hacker sind ferner in die Wählerregister von zwei Staaten der USA eingedrungen, wo sie 200 000 Datensätze kopierten (NZZ, Aug 2016). Diese spektakulären Fälle sind nur die Spitze des Eisbergs, denn eine viel grössere Zahl von kleineren Einbrüchen wird nie bekannt.

Blockierung des Internet-Zugangs

Eine andere Art von Angriff besteht darin, dass man nicht in die angegriffenen Systeme eindringt, sondern diese nur blockiert, z.B. mit einer DDoS (Distributet Denial of Service) Attacke. Einen Vorgeschmack davon, wie dieses Instrument in einer politischen Auseinandersetzung verwendet werden kann, hat Estland 2007 bekommen. Nach einem Streit mit Russland (über die Beseitigung von Soldatendenkmälern ?!?) wurden während mehreren Wochen estnische Banken, Zeitungen, Behörden, Teile des Telefonnetzes und die Kreditkartenverifizierung blockiert, sodass die Wirtschaft ins Stocken geriet (Clarke, Knake 2011, S. 31 ff; Wikipedia; Jason Richards 2008; NZZ 2017). Die Nato richtete darauf in Tallinn ein Cyber Defense Center ein; ob dieses eine solche Attacke verhindern könnte, ist nicht bekannt. (Andere Beispiele vgl. Simons, Jones 2012, S. 75 f)

Einsatz von Hackern für politische Kampagnen

Dass Hacker beigezogen werden, um politische Kampagnen zu beeinflussen, ist nicht neu; vgl. die Beispiele bei Robertson, Riley, Willis 2016 und Goldsmith 2016 sowie die aktuelle Diskussion über vermutete russische Angriffe auf den amerikanischen Wahlkampf. Offenbar haben sie aber bisher nicht direkt in das technische Abstimmungsverfahren eingegriffen. Oder es wurde von niemandem bemerkt ...