Tumblelog by Soup.io
Newer posts are loading.
You are at the newest post.
Click here to check if anything new just came in.

November 09 2013

“Cyber Storm”: Deutsche Behörden, USCYBERCOM, NSA und DHS trainieren Prävention und Abwehr von “Cyberangriffen”

Cyberstorm_IIIWieder haben deutsche Behörden an der wohl weltweit größten “Cyberübung” teilgenommen. So steht es auf der Webseite des US-Ministeriums für Heimatschutz (DHS). Das DHS ist für die Planung und Durchführung des Manövers verantwortlich. “Cyber Storm IV” endet dieses Jahr. Alle zivilen und militärischen US-Sicherheitsbehörden waren mit von der Partie, darunter auch das 2010 eingerichtete “Cyber Command” (USCYBERCOM) sowie die Geheimdienste CIA und NSA.

Die “Cyber Storm”-Manöver werden seit 2006 abgehalten. Die erste Übung fand noch unter alleiniger Beteiligung von US-Behörden statt. 2008 versammelte “Cyberstorm II” neben den USA auch Großbritannien, Australien, Kanada und Neuseeland. Die befreundeten Staaten sind auch Mitglieder des Geheimdienstnetzwerks “Five Eyes”, das vermutlich hinter weitgehenden, weltweiten digitalen Spähmaßnahmen steckt.

Für die internationale Vorbereitung von “Cyberstorm” existieren multilaterale Netzwerke. Hierzu gehört die “Arbeitsgruppe EU-USA zum Thema Cybersicherheit und Cyberkriminalität” sowie ein sogenanntes “EU-/US-Senior-Officials-Treffen”. An “Cyber Storm III” nahm erstmals auch Deutschland teil, ebenfalls an Bord waren Frankreich, Ungarn, Italien, Niederlande und Schweden sowie zahlreiche mit IT-Sicherheit befassten Firmen (eine Liste aller damals Beteiligten findet sich im Abschlussbericht).

“Cyberstorm IV” ist noch größer angelegt als seine drei Vorläufer: Die Übung begann bereits letztes Jahr und klappert zwischendurch etliche US-Bundestaaten ab. Das Finale namens “Evergreen” war für diesen herbst angekündigt, offensichtlich aber ohne ausländische Beteiligung.

Welche deutschen Behörden bei “Cyberstorm IV” mitmischen, geht aus den Dokumenten des US-Heimatschutzministeriums nicht hervor. Es dürfte sich aber wie bei “Cyberstorm III” um das Bundesamt für Sicherheit in der Informationstechnik (BSI) handeln. Laut der Antwort auf eine Kleine Anfrage hatte das BSI vor drei Jahren bereits “25 Mitarbeiter” abgestellt, ein Mitarbeiter sei sogar in der “zentralen Übungssteuerung in Den Haag” eingesetzt gewesen. Welche Infrastruktur der niederländischen Hauptstadt eingebunden war, wird nicht mitgeteilt. Es könnte aber der Vorläufer des European Cybercrime Centre (EC3) bei EUROPOL gemeint sein. Dies würde auch erklären, auf welche Weise das Bundeskriminalamt (BKA) ebenfalls bei “Cyber Storm III” mitmischte.

Laut der Bundesregierung hätten das BSI und das BKA nur an einem “Strang” partizipiert, wo kein Militär anwesend war. Geübt wurde demnach mit dem US-Heimatschutzministerium. Australien, Italien, Kanada, Neuseeland und Großbritannien seien dabei als Beobachter aufgetreten. Jegliche Beteiligung des BSI und BKA an militärischen Aktivitäten wird abgestritten. Das ist jedoch Augenwischerei: Alle Erkenntnisse aus Teilbereichen des Manövers können auch geheimdienstlich oder militärisch genutzt werden.

Zu den Szenarien von “Cyber Storm” gehören “cyberterroristische Anschläge”, über das Internet ausgeführte Angriffe auf kritische Infrastrukturen, “DDoS-Attacken” sowie “politisch motivierte Cyberangriffe”. Es werden auch “Sicherheitsinjektionen” mit Schadsoftware vorgenommen. Es kann angenommen werden, dass die Hersteller des kurz nach der Übung “Cyberstorm III” auftauchenden Computerwurm “Stuxnet” ebenfalls von derartigen Anstrengungen profitierten – jedenfalls wird vielfach eine teilweise Urheberschaft von US-Behörden vermutet. Selbst die Bundesregierung bestätigt, dass sich “Stuxnet” durch “höchste Professionalität mit den notwendigen personellen und finanziellen Ressourcen” auszeichne und vermutlich einen geheimdienstlichen Hintergrund hat.

Auch in Europa bzw. der Europäischen Union werden die Kapazitäten zur Zusammenarbeit bei “Cybersicherheitsvorfällen” stetig vernetzt. Regelmässig werden entsprechende Übungen abgehalten. “BOT12″ simuliert Angriffe durch “Botnetze”, “Cyber Europe 2010″ und “Cyber Europe 2012″ versammelte unter anderem die Computer Notfallteams CERT aus den Mitgliedstaaten (hier der Abschlussbericht). Nächstes Jahr ist eine “Cyber Europe 2014″ geplant. Für die Planung und Organisation aller “Cyber Europe” ist die Europäische Agentur für Netz- und Informationssicherheit (ENISA) verantwortlich, die von dem ehemaligen BSI-Chef Udo Helmbrecht geführt wird. Außerdem errichtet die EU ein “Advanced Cyber Defence Centre” (ACDC), an dem auch die Fraunhofer Gesellschaft, EADS Cassidian sowie der Internet-Knotenpunkt DE-CIX beteiligt sind.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

October 03 2013

Das Bundesamt für Sicherheit in der Informationstechnik und seine Kooperation mit militärischen Einrichtungen

cyber_atlantic_ENISAIn den von Edward Snowden nach und nach veröffentlichen Geheimdokumenten zu den Fähigkeiten der US-Geheimdienste ist auch vom Bundesamt für Sicherheit in der Informationstechnik (BSI) die Rede. Die Behörde bezeichnete sich selbst “Schlüsselpartner” des US-Militärgeheimdienstes National Security Agency (NSA).

Unbestritten ging das BSI aus der “Zentralstelle für das Chiffrierwesen” hervor, die beim Bundesnachrichtendienst angesiedelt war. Im “Nationalen Cyber-Abwehrzentrum” (NCAZ) arbeitet die Behörde mit allen Polizeien und Geheimdiensten des Bundes zusammen, darunter auch dem Militärischen Abschirmdienst. Wie die Bundeswehr betreibt das BSI ein “Computer Emergency Response Team” (CERT). Ziel der CERT’s, die auch auch von der Privatwirtschaft errichtet werden, ist der “verbesserte IT-Schutz”. Hierzu gehört nicht nur die “Lösung von konkreten IT-Sicherheitsvorfällen” oder Warnungen vor Sicherheitslücken. “In Einzelfällen” werden laut Bundesregierung auch “Penetrationstests” vorgenommen.

Grund genug also, sich für Kooperationen des BSI auf internationalem Parkett zu interessieren. Das dachte sich auch der MdB Jan Korte, der gemeinsam mit anderen Abgeordneten die Kleine Anfrage “Die Rolle des Bundesamts für Sicherheit in der Informationstechnik in der PRISM-Ausspähaffäre” gestellt hatte. Die Antwort ist nun eingetrudelt. Wie üblich werden eine Reihe von Informationen aber in die Geheimschutzstelle verschoben und sind dort nur für die Angehörigen des Bundestages einsehbar. Darüber sprechen dürfen sie in der Öffentlichkeit nicht.

So erfahren wir beispielsweise nichts über weitere Treffen zwischen dem BSI und weiteren geheimdienstlichen US-Einrichtungen. Lediglich ein “Expertentreffen” zwischen dem US-Militärgeheimdienst NSA, dem BND und dem BSI am 10. und 11. Dezember 2012 in Bonn wird bestätigt. Eine “fachliche Kontaktaufnahme” seitens des BSI zur NSA sei auch gar nicht nötig gewesen, erklärt die Bundesregierung. Denn diese sei bereits “auf ministerieller Ebene erfolgt”. Das ist interessant, denn das BSI untersteht dem Bundesinnenministerium. Der Satz lässt sich so interpretieren, dass IM Friedrich selbst bei der NSA angeklopft hatte.

Doch auch die öffentlich beantworteten Fragen geben Anlass zu Zweifeln. Denn es wird wiederholt, was das BSI bereits in einer eigenen Pressemitteilung betonte. So heißt es, man habe “weder die NSA noch andere ausländische Nachrichtendienste unterstützt”. Allerdings geht es bei dem Dementi lediglich um die Frage, ob das BSI half, “Kommunikationsvorgänge oder sonstige Informationen am Internet-Knoten De-CIX” auszuspähen. Bezüglich des Überwachungswerkzeugs XKeyscore war das BSI aber sehr wohl involviert: MitarbeiterInnen seien laut der Bundesregierung “bei einer externen Präsentation des Tools durch den Bundesnachrichtendienst im Jahr 2011″ anwesend gewesen.

Die Zusammenarbeit mit der NSA wird nicht bestritten, denn diese sei die für die USA zuständige “Nationale Kommunikationssicherheits- und Cybersicherheitsbehörde”. Die NSA ist aber nicht die einzige Militärbehörde, mit der das BSI Beziehungen pflegt. Die internationale Kooperation knüpft laut der vorliegenden Antwort an die Mitgliedschaft der Bundesrepublik Deutschland in der NATO an. “Kooperationsfelder” würden sich demnach “aus den Aufgaben der NATO in der Informations- und Cybersicherheit” ableiten. Für die “anlass- und themenbezogene Zusammenarbeit” innerhalb der NATO seien “geregelte Gremienstrukturen” eingerichtet worden.

Zur Wahrnehmung seiner Aufgaben nimmt das BSI an “internationalen IT-Sicherheitsübungen” teil. Die Europäische Union hatte beispielsweise die Übung “Cyber Europe 2010″ ausgerichtet, um die “Abwehrbereitschaft der EU” zu verbessern. 22 Mitgliedstaaten beteiligten sich, verantwortlich war die Europäische Agentur für Netz- und Informationssicherheit (ENISA) mit Sitz in Athen. Chef der ENISA ist Udo Helmbrecht, früherer Präsident des Bundesamtes für Sicherheit in der Informationstechnik).

Mittlerweile werden derartige Manöver zur “Abwehr von IT-Angriffen gegen Regierungsnetze” unter Beteiligung der USA durchgeführt. In der Übung “Cyber Atlantic 2011″ lag hierfür unter anderem das Szenario eines Hackerangriffs zugrunde:

Für das erste Szenario wurde als Angreifer eine Hackergruppe mit “Anonymous ähnlichem” Hintergrund angenommen und im zweiten Szenario wurde die Reaktion auf Angriffe gegen kritische Infrastrukturen geübt.

Kurz vor der “Cyber Europe 2010″ hatten mehrere EU-Mitgliedstaaten (Frankreich, Deutschland, Ungarn, Italien, Niederlande, Schweden und Großbritannien) an der zivil-militärischen US-Übung “Cyber Storm III” teilgenommen, die vom Ministerium für Innere Sicherheit der Vereinigten Staaten (DHS) geleitet wurde. Die EU-Kommission und ENISA nahmen als Beobachter teil. Auch das BSI war mit 25 MitarbeiterInnen an Bord und beschäftigte sich in “Cyberstorm III” mit einem “Computerwurm-Szenario” (kurz darauf wurde erstmals die Existenz des Stuxnet-Virus offenkundig). Auch ein Mitarbeiter des Bundeskriminalamts (BKA) sei laut der Bundesregierung an “Cyberstorm III” beteiligt gewesen, ein Mitarbeiter des BSI saß mit in der “zentralen Übungssteuerung” in Den Haag.

Hier schließt sich der Kreis zur Zusammenarbeit mit internationalen Militärs, denn in “Cyber Storm III” war auch das US-Verteidigungsministerium mit mehreren Behörden eingebunden: Dem “Defense Cyber Crime Center”, dem “United States Cyber Command”, dem “United States Strategic Command” und natürlich führenden MitarbeiterInnen der NSA.

Zur derart dominanten militärischen Beteiligung bei “Cyberstorm III” befragt, redet sich die Bundesregierung heraus:

An dem Strang von Cyber Storm III, an dem Deutschland [mit BSI und BKA] beteiligt war, haben keine militärischen Stellen teilgenommen.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

Older posts are this way If this message doesn't go away, click anywhere on the page to continue loading posts.
Could not load more posts
Maybe Soup is currently being updated? I'll try again automatically in a few seconds...
Just a second, loading more posts...
You've reached the end.

Don't be the product, buy the product!

Schweinderl