Nichts geht mehr ohne IT! Wie abhängig man davon ist, merkt man erst, wenn man nicht – wie gewohnt – darauf zugreifen kann.
Grund dafür ist die digitale Transformation, die mit enormer Dynamik voranschreitet und die Informationstechnik (IT) mehr und mehr in jedem Bereich des Alltags fest verankert. Ob bei der täglichen Arbeit oder dem Medienkonsum in der Freizeit – Digitalisierung ist omnipräsent, da sie Treiber und Basis für das Wohlergehen unserer Gesellschaft ist.

Unabdingbar für eine erfolgreiche Digitalisierung ist „Digitale Souveränität“. Gerade mit Blick auf die Wettbewerbsfähigkeit Europas, die Industrie 4.0 oder Vorhaben wie GAIA-X und 5G, spielt „Digitale Souveränität“ eine entscheidende Rolle. „Digitale Souveränität“ bedeutet, dass Deutschland und ebenso die EU in der Lage sein muss, die wesentlichen Werte von Bürgern, Behörden und Wirtschaft eigenständig zu schützen. Diese Werte umfassen neben privaten, Berufs-, Staats- und Geschäftsgeheimnissen auch Konformität zum Datenschutz und Kartellrecht, Vertrauen und Reputation sowie finanzielle Integrität und die Integrität physischer Güter und kritischer Infrastrukturen. Jeder vertraut in den Schutz dieser Werte.

Doch aktuell ist die geforderte „Digitale Souveränität“ eher eine illusorische Vorstellung, da – wie nachfolgend ausgeführt – Abhängigkeiten von nicht kontrollierbaren Faktoren entstanden sind.

Abhängigkeit von externer Technologieproduktion und -lieferung

Europäische Unternehmen spielen als Lieferanten für breit eingesetzte IT kaum mehr eine Rolle. Die marktführenden Technologien werden in fast allen Bereichen außerhalb Europas gefertigt. Besonders Asien und die USA sind hier dominierend. Jeder Hersteller ist an die jeweiligen gesetzlichen Vorgaben und kulturellen Denkweisen seines Landes gebunden und so gibt es weltweit gravierende Unterschiede. Sei es bei der Einschätzung zur Stärke der einzusetzenden Verschlüsselung oder der bewussten Integration von „Back Doors“.  Eine vollständige Vertrauenswürdigkeit kann mit solchen Komponenten nicht gewährleistet werden. Doch mangels Alternativen kommen sie dennoch überall zum Einsatz.

Eingesetzte Technologien sind komplexe „Black Boxes“

Aktuelle IT-Systeme sind vielschichtige Gebilde aus Hard- und Software, deren Komplexität selbst für Experten oft schwer oder gar nicht durchdringbar ist. Zudem sind Programmcodes und technische Eigenschaften auf Detailebene für eine eigenständige bzw. unabhängige Prüfung nicht verfügbar („Closed Source“). Somit ist nicht feststellbar, ob ein Produkt lediglich die gewünschten Funktionalitäten bereitstellt oder ob Schwachstellen und versteckte Back Doors für Manipulationen vorhanden sind. Denn diese können sich praktisch auf jeder Ebene des IT-Systems befinden, so auch in der Hardware, den verbauten „Chips“. Eine potenzielle Schwachstellensuche gleicht der sprichwörtlichen Suche nach der Nadel im Heuhaufen, ohne jedoch zu wissen, wie die Nadel aussieht. Und selbst wenn eine Schwachstelle identifiziert wird, kann nicht garantiert werden, dass jedes Gerät einer Serie in Hard- und Software exakt identisch ist.

Nachhaltige IT-Sicherheit ist kein maßgebliches Kriterium für Design und Erwerb

Design und Produktion aktueller Systeme sind durch die Paradigmen „maximale Funktionalität“ und „geringe Time-to-Market“ geprägt. Ist das Produkt erst einmal auf dem Markt, werden sicherheitsrelevante Updates vernachlässigt. Auf Käuferseite werden Vertrauenswürdigkeit und Sicherheit in den Produkten fälschlicherweise als Selbstverständlichkeit angesehen. Systeme mit nachweislich höherem Sicherheitsniveau erlangen keine Anwenderaufmerksamkeit, da niedrige Preise und Bequemlichkeit schlagende Kaufkriterien sind. Dass IT-Sicherheit kein Design- und Langfristziel ist, zeigt die jährlich steigende Zahl von IT-Sicherheitsvorfällen. Als Konsequenz sind das allgemeine Sicherheitsniveau und die Vertrauenswürdigkeit aktuell verbreiteter Systeme deren gesellschaftlicher Bedeutung nicht angemessen.

Das Abfinden mit dem Status Quo ist keine Option

Die Diskussion mit Anwendern zeigt immer wieder, dass eine Resignation einsetzt und die eigenen Anforderungen an das bestehende Angebot angepasst werden, anstatt umgekehrt. Aufgrund der Bedeutung für die wirtschaftliche Wettbewerbsfähigkeit und Zukunft Europas ist das Abfinden mit dem Status Quo keine akzeptable Option. Auch das Auditieren bestehender Systemlösungen ist aufgrund der inhärenten Komplexität wenig zielführend und nicht ausreichend.

Es ist weder realistisch, notwendig noch wünschenswert, alle Elemente einer digitalen Infrastruktur von europäischen Herstellern entwickeln und fertigen lassen zu wollen. Eine erfolgversprechende und zielführende Strategie ist jedoch, ausgewählte Themenfelder durch europäische Anbieter zu besetzen. Eine Wiedererlangung Digitaler Souveränität kann erreicht werden durch die

• • • • Reduktion digitaler Abhängigkeit von außereuropäischen Anbietern,
      • Abkehr von schädlichen Designparadigmen sowie
      • Begünstigung eines verantwortungsbewussteren Käuferverhaltens.

Die unmittelbaren Folgen sind ein höheres Sicherheitsniveau und gestärkte Vertrauenswürdigkeit eingesetzter Komponenten und mittelbar die Wiedererlangung Digitaler Souveränität. Die Voraussetzungen dafür sind in Deutschland und Europa aussichtsreich: Vorhandene Technologieproduktionen könnten ausgebaut und Anreize für den Einsatz sicherer Systeme geschaffen werden. Auch regulatorisch, denn Europa steht aufgrund des „Exportschlagers“ EU-DSGVO im Fokus der Weltöffentlichkeit und könnte für sichere Systeme einen weiteren Leuchtturm etablieren. Deutsche Hersteller und Forschungsinstitute der IT-Sicherheit behaupten sich durch umfassende Fachexpertise, Kompetenz und Erfahrung. Sie genießen internationales Vertrauen und Ansehen.

Die Vertrauenswürdigkeit von Systemen ist eine bekannte Herausforderung

Der renommierte Sicherheitsforscher Bruce Schneier formuliert die paradoxe Situation treffend:

„Generell steigen Bedrohungen für Systeme mit der wachsenden Komplexität der Systeme. Es ist schon kaum möglich, ein vertrauenswürdiges System aus ausschließlich vertrauenswürdigen Komponenten aufzubauen. Da solche Komponenten in der Praxis zudem kaum verfügbar sind, stehen wir vor der Herausforderung, vertrauenswürdige Systeme aus NICHT-vertrauenswürdigen Komponenten aufzubauen. Das ist eine Aufgabenstellung, für die es aktuell keine Lösung gibt.“ [1]

Allerdings gibt es keine Alternative zum Finden einer Lösung. Diese Aufgabe muss als wesentliches Ziel festgelegt und angegangen werden.

Um dieses Ziel zu erreichen, sollten zunächst wesentliche Lösungskomponenten identifiziert, die dann vorrangig von EU-ansässigen Lieferanten entwickelt und geliefert werden sollten. Ansätze der Produktionsüberwachung und lückenlose Überwachung und Kontrolle der Lieferkette sind so konzipier- und realisierbar. Ein weiterer wesentlicher Aspekt vertrauenswürdiger Systeme ist der Nachweis der Vertrauenswürdigkeit mittels Zertifikate. Der heutige Prozess der Zertifizierung ist jedoch der dynamischen Entwicklung der Technologie und somit der Systeme nicht angemessen. Systeme unterliegen einer ständigen Weiterentwicklung und Verbesserung. Zertifizierungen im Abstand von einem oder mehreren Jahren liefern nur eine Momentaufnahme, die schon nach Tagen nicht mehr gültig sein muss. Hier wäre eine kontinuierliche Überprüfung der jeweiligen Systeme im Sinne einer dynamischen Attestierung sinnvoll. Dafür wären entsprechende Zertifikate, Prüfverfahren und Technologien zu entwickeln, die einen kontinuierlichen Nachweis der Einhaltung aller Maßnahmen zur vertrauenswürdigen Arbeit eines Systems bieten.

Das Ziel der Auflösung des Widerspruchs, aus nicht vertrauenswürdigen Komponenten vertrauenswürdige Systeme aufbauen zu wollen, besteht weltweit, sodass sehr attraktive Marktchancen für Lösungen europäischer Anbieter bestehen – in Produkten und Prozessen.

Secure Platform als möglicher Lösungsansatz

Mit „Secure Platform“ wird durch einen unabhängigen Expertenkreis eine praxisorientierte Konzeption einer offenen und sicheren IT-Plattform als Alternative zu marktdominierenden Herstellern verfolgt, um die Herausforderung anzugehen und „Digitale Souveränität“ zurückzubringen.

Das Konzept baut auf den fünf technischen Ebenen 1. Hardware, 2. Chiparchitektur, 3. Betriebssystem, 4. Anwendungen und 5. Mobilbetrieb mit klarem Fokus auf definierte Funktionalität, komfortable Usability, hohe und höchste Sicherheit, belastbare Stabilität sowie anwendungsangepasste Performance auf. Als weitere Ebene ist 6. Betriebskonzept als organisatorisches Konstrukt für Produktion, Vertrieb und Support zu verstehen, das auch die nachhaltige Weiterentwicklung der Plattform sowie regelmäßige dedizierte Sicherheitsprüfungen durch unabhängige Institutionen zur Zielsetzung hat. Auf allen Ebenen werden grundsätzlich folgende Designprinzipien verfolgt:

1. 1. Komplexitätsreduktion – „Principle of Least Technology”

Ein System konstruieren, das nur die Komponenten und den Code enthält, der tatsächlich benötigt wird.

1. 2. Sicherheit im Design – „Security by Design“

Ein System kann nur dann sicher sein, wenn in jeder Komponente und auf jedem Level der Architektur die Sicherheit als Designprinzip gilt.

1. 3. Offene Architektur – „Open for Transparency“

Alle Komponenten sind quelloffen und idealerweise lizenzfrei, somit für jeden einsehbar und prüfbar.

1. 4. Sicherheit als Prozess – „Near-guaranteed Security“

Systemsicherheit ist eine (weitestgehend) zugesicherte Produkteigenschaft, die im Lebenszyklus permanent hinterfragt und optimiert wird.

1. 5. Kontrollierte Lieferkette – „A European Tech Supply Chain“

Stärkung der europäischen Position im internationalen Wettbewerb durch Produktion einer attraktiven Systemlösung innerhalb Europas mit Fertigung von technischen Komponenten idealerweise in der EU.

1. 6. Investitionsschutz – „Long-term Availability and Compatibility“

Langfristige Verfügbarkeit von Systemkomponenten und Abwärtskompatibilität als (weitestgehend) garantiertes Ziel.

1. 7. Nachhaltigkeit – „Reconfigurable Hardware“

In der Betriebslaufzeit umkonfigurierbare Hardware kann länger verwendet werden und „Spectre & Meltdown“ Probleme gibt es nicht bzw. sind lösbar.

1. 8. Innovation – „Niche Technologies for the Masses“

Disruptive Technologien (wie bspw. FPGA) jenseits der Nische in praktische Anwendung und Endanwenderhände bringen.

Neben den Designparadigmen ist eine Sicherheitsprüfung gemäß EU-Standards erstrebenswert und markterfolgsfördernd (ggf. auch „Common Criteria“ ISO/IEC 15408 perspektivisch). Als erste Zielgruppe sind sicherheitsbewusste Organisationen, bspw. aus dem Betrieb kritischer Infrastrukturen (KRITIS), denkbar.

Quellen und Referenzen

[1] https://www.nytimes.com/2019/09/25/opinion/huawei-internet-security.html