Sicherheit - Datennetze
Viren, Würmer, Datendiebe
Hacker haben Hochkonjunktur - vor allem das Zusammenwachsen von Telefon und Internet wirft neue Sicherheitsprobleme auf. Nur eine lückenlose Sicherheitsarchitektur und intensive Aufklärung schützen vor Attacken.
Reiner Schmidt* traute seinen Augen nicht: "... deshalb möchte ich mich persönlich für Ihre hervorragende Arbeit und Ihr Engagement bedanken", las er in der E-Mail. Gezeichnet: Heinrich von Pierer. Endlich werde seine Arbeit richtig gewürdigt, freute sich Schmidt, und dann sogar vom Siemens-Vorstandsvorsitzenden persönlich. Artig bedankte er sich beim Siemens-Chef. Doch in von Pierers Büro wusste man mit der Dankesmail nichts anzufangen, auch die Mail an Schmidt war von dort nie versandt worden.
Dr. Johann Fichtner kann über diesen Fall heute nur noch schmunzeln. Seinem Computer Emergency Response Team (CERT) gelang es damals schnell, den Urheber der Scherzmail zu entlarven. Der Täter ein Kollege von Schmidt kam mit einem Verweis und Reiner Schmidt mit dem Schrecken davon. Wenn Fichtners Team gerufen wird, ist der Anlass meist weniger harmlos. Seit fünf Jahren kümmert sich das CERT rund um die Uhr um die Sicherheit der Netzwerke von Siemens ein harter Job bei 300 000 Rechnern, die jeden Tag mehreren tausend, meist automatisierten Hacker-Attacken ausgesetzt sind. Das unabhängige CERT Coordination Center in Pittsburgh, das weltweit alle Angriffe sammelt, verzeichnet seit Jahren ein exponentielles Wachstum bei solchen Cyber-Attacken. Trotzdem leisten sich nur wenige Firmen ein eigenes Notfallteam, neben Siemens auch die Deutsche Telekom, IBM und Volkswagen.
Weltweite Hacker-Angriffe, die beim unabhängigen CERT Coordination Center (Pittsburgh) gemeldet wurden
Zwischen Hackern und Sicherheitsexperten ist ein harter Wettlauf entbrannt. Manchmal zeigt ein Übeltäter Reue und wechselt die Seiten wie Kevin Mitnick, einer der berühmtesten Hacker der Welt, der wegen seiner Angriffe fast fünf Jahre in US-Gefängnissen saß. In seinem Buch "The Art of Deception" (Die Kunst der Täuschung) beschreibt Mitnick, dass man kein genialer Programmierer sein muss, um an geheime Daten zu kommen. Mit dreisten Lügen kann man arglose Mitarbeiter leicht übers Ohr hauen. Fachleute bezeichnen dies als Social Engineering.
"Wenn man hundert Leute anruft und sich als Mitarbeiter des Rechenzentrums ausgibt, ist immer einer dabei, der sein Passwort verrät", weiß auch Fichtner. Seine Hauptarbeit ist deshalb die Aufklärung. "Bewusstsein schafft Sicherheit", heißt das Motto, mit dem alle Siemens-Mitarbeiter für Risiken sensibilisiert und aufgefordert werden, ihre Mails mit einer Public Key-Verschlüsselung zu sichern. Zudem überprüfen die CERT-Leute mit speziellen Algorithmen die Qualität der Passwörter und fahren mit einer eigens erstellten Software automatische Angriffe gegen das eigene Netz, um Schwachstellen zu entlarven. Scheinbar belanglose Informationen wie der Rechnertyp oder das Betriebssystem geben Hackern oft entscheidende Hinweise, wie man das Sicherheitssystem knacken kann.
Quellen der Angriffe auf US-Datennetzenach einer Umfrage unter US-Firmen und -Behörden
Im Idealfall schlagen Intrusion Detection Systeme an den Schnittstellen zwischen Intranet und Internet bei einem Angriff Alarm und blockieren vorübergehend den Datenaustausch. Die automatischen Wachhunde kontrollieren zum Beispiel das Logfile eines Servers. Darin wird festgehalten, wer wann von wo Zugriff auf welche Daten hatte. Schwillt es plötzlich an, könnte ein Angriff vorliegen. Der legendäre Trick von Kevin Mitnick, das Logfile einfach abzuschneiden und dadurch kurz zu halten, funktioniert heute nicht mehr moderne Intrusion Detection Systeme würden das sofort merken.
Auch so genannte Denial of Service-Angriffe können auf diese Weise weitgehend verhindert werden. Dabei manipulieren Hacker tausende Rechner im Internet, damit diese zeitgleich Millionen Datenpakete an eine bestimmte Adresse senden und der Server des Empfängers unter der Last zusammenbricht. Hartmut Pohl, Professor für Informationssicherheit an der Fachhochschule Bonn-Rhein-Sieg kennt eine Firma, der ein Auftrag in Milliardenhöhe durch die Lappen ging, weil das Angebot wegen streikender Computer nicht rechtzeitig fertig wurde ein Sabotageakt, wie sich später herausstellte.
"Viren haben wir bei Siemens gut im Griff", sagt Fichtner zufrieden. Der mehrstufige Virenschutz, der auch so genannte Würmer fernhält, die sich selbst vermehren und verbreiten, werde bei Bedarf mehrmals täglich auf den neuesten Stand gebracht. Außerdem kämpft die Computer-Feuerwehr gegen so genannte Website Defacements, bei denen Hacker versuchen, eine offizielle Internetseite gegen eine Seite mit unflätigen Sprüchen wie "Microsoft is shit" auszutauschen.
Quantifizierbare Verluste im Jahr 2001 (USA)
Spin-Off für Datensicherheit. "Keep your web clean" dieses Motto hat sich die webwasher.com AG in Paderborn auf die Fahne geschrieben. Vor gut drei Jahren als Siemens-Spin-off gegründet, bietet webwasher eine integrierte Sicherheitslösung für alle Geschäftsprozesse, die Angriffe durch Viren abblockt, den Zugriff der Mitarbeiter auf pornografische und radikale Inhalte verhindert und den Mail-Verkehr gesetzeskonform überwacht. Dieses Content Security Management ist ein Riesengeschäft: Die Marktforscher von IDC schätzen den weltweiten Umsatz auf 4,2 Mrd. US-$ fürs Jahr 2005.
Neue Angriffsmöglichkeiten erhoffen sich Hacker mit dem Siegeszug der Internet-Telefonie (Voice over IP, siehe Pictures of the Future, Herbst 2002, Beitrag Netz ohne Grenzen). Bei traditionellen Telefonnetzen ist es fast unmöglich, unbefugt übers Netz die Vermittlungsrechner zu manipulieren und damit die Infrastruktur lahm zu legen oder Serviceanbieter zu betrügen. Im Internet dagegen benützen viele Dienste die gleichen Übertragungswege. So werden die Sprachdaten von Voice over IP zusammen mit den Datenpäckchen von E-Mails oder den Steuerdaten der Router gemeinsam transportiert, und dies über Netzgrenzen hinweg.
WLAN und UMTS - Angriffe auf mobile Netze
Ein "Warchalker" markiert offene W-LAN-Zugänge
Ein Kartenausschnitt zeigt die Innenstadt von München. Rund um den Englischen Garten sind viele schwarze Punkte eingezeichnet. "Alles offene W-LAN-Zugänge", runzelt Dr. Johann Fichtner vom Siemens Computer Emergency Response Team die Stirn. An jedem dieser Punkte können Hacker über die immer beliebteren Wireless Local Area Networks (W-LAN) drahtlos ins Internet gelangen einfach per Mausklick, ohne ein Passwort knacken zu müssen. So genannte Warchalker und Wardriver machen daraus einen Sport: In London und weiteren Großstädten spüren sie ungesicherte Funkzugänge auf und markieren sie mit Kreide an der Hauswand oder auf dem Bürgersteig, damit ihre Hackerkumpels dort auf Kosten der ahnungslosen Besitzer surfen können.
Mit der Sicherheit in drahtlosen Netzen beschäftigt sich der Mathematiker Dirk Kröselberg bei Siemens Corporate Technology in München. Schwerpunkt seiner Arbeit ist der künftige Mobilfunkstandard UMTS. Eine echte Herausforderung in puncto Sicherheit ist die Symbiose von UMTS und W-LAN, denn es zeichnet sich ab, dass beide Standards nebeneinander existieren werden (siehe Pictures of the Future, Frühjahr 2002, Beitrag UMTS und mehr). Ein UMTS-Nutzer, der ein hohes Sicherheitsniveau gewohnt ist, möchte vielleicht über einen W-LAN-Hotspot, etwa im Hotel oder am Flughafen, ohne Risiko seine E-Mails abrufen oder das Service-Angebot seines UMTS-Betreibers nutzen und sich dafür nur einmal einloggen. "Ein heißes Thema", sagt Kröselberg.
Und ein kompliziertes. In Zukunft wird nämlich die Palette an Endgeräten vom Notebook bis zur Armbanduhr reichen. Der Trend zu Internet-Protokollen auch im Mobilfunk wirft neue Sicherheitsprobleme auf. "Viele Hacker-Angriffe, die heute auf PC stattfinden, wird es dann auch auf Handys geben", warnt Kröselberg. Siemens engagiert sich deshalb in der Liberty Alliance, in der sich verschiedene Anbieter zusammengeschlossen haben. Die Idee: Der Nutzer holt sich vom Anbieter seiner Wahl eine Zugangsidentität, mit der er sich auch bei allen anderen Netzen und Dienstleistern anmelden kann. Im Gegensatz zu Passport, einem elektronischen Universalausweis, der von Microsoft propagiert wird, sollen bei der Liberty Alliance die persönlichen Daten nicht zentral bei einer Firma gespeichert werden.
Eine besondere Herausforderung sind mobile Ad-hoc-Netzwerke. Sie funktionieren ohne feste Netzinfrastruktur, die Verbindung ins Netz kann direkt übers Gerät des Sitznachbarn im Bus oder über ein vorbeifahrendes Auto geknüpft werden. Eine dritte Instanz, die die Schlüssel verwaltet, muss dabei sicherstellen, dass jeder Partner weiß, wer der andere ist. Dieses Problem wird üblicherweise gelöst, indem man verschiedene Zertifizierungsebenen einführt, wobei eine Ebene immer die darunter liegende zertifiziert, also für die Echtheit der Instanz oder der Person garantiert. Ein neuer Ansatz sind so genannte Subscriber-Certificates, wie sie für UMTS-Mobilfunknetze in der Diskussion sind. Dabei stellt der Netzbetreiber Zertifikate aus, die zum digitalen Signieren eines Kaufvertrags dienen können und dem Verkäufer die Echtheit der Unterschrift garantieren. Diese Zertifikate werden nur bei Bedarf übers Netz ausgestellt und verfallen nach ein oder zwei Tagen wieder. "Solche Ad-hoc-Zertifikate sind billiger als Dauerzertifikate, die jahrelang gelten und meistens gar nicht benutzt werden", versichert Kröselberg.
Herkömmliche Firewalls, die verdächtige Daten an der Peripherie eines Firmennetzes blockieren sollen, helfen da nicht weiter. Denn es spielt zwar bei E-Mails keine Rolle, ob Verschlüsselungsmechanismen und Überprüfungen durch Firewalls den Transport der Datenpakete verzögern. Bei der Internet-Telefonie aber hängt die Tonqualität davon ab, ob die Pakete ohne Zeitverzögerung und in der richtigen Reihenfolge ankommen.
Sicheres Telefonieren übers Netz. Dr. Wolfgang Klasen vom Fachzentrum für Sicherheit bei Siemens CT in München arbeitet mit seinem Team deshalb an lückenlosen Sicherheitsarchitekturen, die den Echtzeitbedingungen von Multimedia-Anwendungen genügen. So ist Siemens zur Zeit der einzige Hersteller von Voice-over-IP-Produkten, der seine Protokolle in allen Komponenten einbruchsicher auslegt. Inzwischen gibt es entsprechende Standards und andere Hersteller ziehen nach.
Allerdings lassen sich Sicherheitslösungen, die heute optimal sind, nicht ohne weiteres auf künftige Anforderungen übertragen. Klasen malt das typische Beispiel für asymmetrische Datenverschlüsselung aufs Papier: Alice und Bob wollen sich mit einem privaten und einem öffentlichen Schlüssel eine geheime Nachricht senden. Aber was passiert, wenn es sehr viele Alices und Bobs gibt, fragt Klasen, zum Beispiel bei einer Videokonferenz oder im Workflow eines Knowledge-Management-Systems? Dort müssen alle berechtigten Nutzer im Besitz der passenden Schlüssel sein, was den Aufwand erhöht und neue Risiken birgt. Die Sicherheit müsse auf jeden Fall so anwenderfreundlich integriert werden, sagt Klasen, dass sie die Bedienung und den Zugang zu Informationen nicht behindere.
Mit den so genannten DirX-Solutions-Produkten hat Siemens jetzt Verzeichnisdienste geschaffen, die die Vergabe von Zugriffsberechtigungen einfach und systemübergreifend lösen: Damit lassen sich selbst hunderte von Millionen Einträgen verwalten was für personalisierte Internet-Dienstleistungen aller Art immer wichtiger wird, ob es nun um Mobilfunkanbieter, Banken, Energieversorger oder Versicherungen geht. Beim E-Government gibt es zusätzliche Herausforderungen: Hier müssen Verträge und Dokumente verschlüsselt in Archiven gespeichert werden und auch in 30 Jahren noch lesbar sein, obwohl dann die benutzten Verfahren oft so veraltet sind, dass sie niemand mehr verwendet.
Mathematische Sicherheitsbeweise. Doch selbst wenn ein Algorithmus als sicher gilt, kann etwas schief gehen. Davon weiß Volkmar Lotz, Sicherheitsexperte bei Siemens in München, ein Lied zu singen. Ein Beispiel sei das Needham-Schröder-Public-Key-Protokoll zum Nachweis der Identität zweier Kommunikationspartner. Erst nach siebzehn Jahren entdeckte man mit mathematischen Methoden eine Sicherheitslücke, die vorher nicht einmal Hackern aufgefallen war. Lotz prüft Algorithmen und deren Anwendungen mittels mathematischer Beweise, lange bevor die Software in einem Produkt auf den Markt kommt. Sein dreiköpfiges Team ist eines von bestenfalls 20 weltweit, die mit mathematischen Modellen die Leistung eines Verschlüsselungssystems und die Auswirkungen eines Hackerangriffs bewerten können. "Die Mathematik ist exakt und zwingt die Entwickler zur Präzisierung ihrer Ideen", sagt Lotz. Dennoch stecke seine Disziplin noch in den Kinderschuhen. Die immer komplexeren Internet-Protokolle seien mit formalen Beweisen noch nicht beherrschbar. In Kooperation mit europäischen Forschungsinstituten wollen Lotz und sein Team dies ändern. Lotz' Arbeit bringt nicht nur mehr Sicherheit, sondern auch Wettbewerbsvorteile. So hat sein Team beim Sicherheitsnachweis eines Smartcard-Prozessors für Infineon mitgewirkt. Dieser Prozessor war die erste Hardware, die den hohen Anforderungen der ersten Fassung des deutschen Signaturgesetzes entsprach, in dem die Grundlagen für elektronische Unterschriften geregelt sind. Inzwischen wurde das Signaturgesetz entschärft, doch Infineon unterwirft sich freiwillig den alten, strengeren Kriterien. "Die Kunden erkennen den Qualitätsgewinn und haben großes Vertrauen in die Produkte", sagt Lotz. Nicht zuletzt aus diesem Grund ist Infineon bei hochzertifizierten Smartcard-Prozessoren Marktführer.
Arten des Angriffs auf US-Datennetze (in %)
Besonders schwierig sind Einsatzgebiete, bei denen wenig Rechenleistung zur Verfügung steht und die Hardware billig sein muss. So entwickelt Lotz' Team Sicherheitsalgorithmen für die Fernablesung von Stromzählern und für Anwendungen in Fahrzeugen. Autos werden immer öfter mit elektronischen Schlüsseln geöffnet und gestartet. Ein Teil der Berechnung zur Authentifizierung des Nutzers findet im Schlüssel statt, der klein und billig sein muss. Dasselbe gilt für elektronische Fahrtenschreiber in Lkw, für die Lotz sichere Algorithmen entwickelt. Das seien alles Speziallösungen, betont der Sicherheitsfachmann. "Es ist für uns jedes Mal eine Herausforderung, trotz der Beschränkungen der Hardware die Sicherheit hoch zu halten."
Bernd Müller