Hört auf, vom Cyberwar zu reden – mit Krieg hat es nichts zu tun

Das sagte jedenfalls Marcus J. Ranum, Veteran der Computersicherheit und CSO bei Tenable Network Security, einer der größten IT-Sicherheitsfirmen weltweit. Auf der AusCERT, der australischen Konferenz für Informationssicherheit, forderte er die Welt auf, den Begriff „Cyberwar“ nicht mehr zu verwenden, da es nicht mit einem Krieg in der wirklichen Welt zu vergleichen sei: „Wie kann man etwas als Krieg bezeichnen, wenn die wichtigsten Eigenschaften eines Krieges nicht darauf zutreffen?“

Die Begriffe aus der konventionellen Kriegsführung passen nicht zu den modernen Auseinandersetzungen zwischen Computern, die mittlerweile Alltag sind. Sie scheinen nur gut dafür geeignet zu sein, sorgen aber eigentlich nur dafür, dass das tatsächliche Geschehen verschleiert wird. Denn bei einem Krieg in der realen Welt gäbe es Verteidigungen, die tatsächlich funktionieren, Truppenbewegungen, Nachschub und Logistik spielten eine große Rolle, und am Ende könnte tatsächlich einer gewinnen. Doch all diese Faktoren spielen keine Rolle, wenn es um Angriffe auf Computer oder Netzwerke geht, sagt Ranum.

Kann man gewinnen?

„Was heißt überhaupt gewinnen im Cyberspace? Du kannst deinen Feind nicht endgültig zurückdrängen. Wenn du mich im Krieg mit tausend Panzern angreifst und ich zerstöre sie alle, dann brauchst du tausend neue Panzer. Die Dynamik eines Krieges gilt nicht für Auseinandersetzungen im Cyberspace. Du kannst dem Angreifer nie so viele Verluste zuführen, dass er niemals wiederkommt.“

Ranum, der wesentlich zur Entwicklung von Firewalls beigetragen hat und seit mehr als zwanzig Jahren im Bereich IT-Sicherheit forscht und arbeitet, sieht eher Gefahren darin, wenn Militär, Behörden oder auch von ihnen beauftrage Firmen sich aggressiv und offensiv in den vermeintlichen Krieg stürzen. Denn der Einsatz von Angriffswerkzeugen wie Stuxnet sendet ein deutliches Signal in die Welt und verstärkt den Druck, auf diese Offensive wieder zu reagieren – was wiederum Folgen für den rein defensiven Zweig der IT-Sicherheit hat:

Das geht zu Lasten der Sicherheitsindustrie: Wir auf der Seite der reinen Verteidigung müssen uns mit den offensiven Beiträgen unserer Kollegen auseinandersetzen, die von der Regierung finanziert wurden.

Er fürchtet eher, dass der Begriff Krieg bewusst eingesetzt wird, damit das Militär diese Verpflichtung an sich ziehen kann, mit aller damit verbundenen Verantwortung und finanzieller Förderung. Hier wird nicht nur versucht, alte Denkweisen auf moderne Probleme anzuwenden. Hier wird auch versucht, die Öffentlichkeit bewusst im Dunkeln zu halten, um unbequeme Fragen zu vermeiden und eigene Politik zu betreiben, sagt Ranum. Präventivschläge, Spionage und Angriffe auf andere Computer und Netzwerke sind dabei bewusst mit eingeschlossen. Er sieht es als seine Aufgabe an, genau vor dieser Täuschung zu warnen, und auf die Bestrebungen hinzuweisen, das Netz zu überwachen und den Cyberspace dem Militär zu überlassen.

Bild: Marcus Ranum / (CC BY 3.0)