Interview
Spätestens nach dem Ausfall bei Microsoft sollten wir uns fragen, wie wir uns unabhängiger machen können, sagt IT-Sicherheitsexperte Dennis-Kenji Kipker. In unsicheren Zeiten brauche es mehr digitale Souveränität – und das sei möglich.
tagesschau24: Unternehmen und Regierungen weltweit sind betroffen, auch wir bei der tagesschau haben damit zu tun. Machen sich Unternehmen zu abhängig von einzelnen Softwareanbietern?
Dennis-Kenji Kipker: Das kann man durchaus so sehen. Wir haben den Warnschuss ja eigentlich schon vor zwei Jahren mit den Crowdstrike-Vorfällen gehabt. Damals betraf es ein fehlerhaftes Software-Update, wodurch eben Betriebssysteme in PCs millionenfach lahmgelegt worden sind und sich in einer Neustartschleife verfangen haben.
Man hat damals nicht viel gemacht. Die meisten Unternehmen haben das einfach hingenommen. Jetzt sehen wir zweieinhalb Jahre später einen ähnlichen Vorfall mit ähnlichen Auswirkungen. Millionen von Betrieben sind betroffen. Es sind bereits Millionenschäden entstanden – und eigentlich müssten wir uns spätestens jetzt überlegen: Wie können wir uns unabhängiger machen von einem einzelnen Unternehmen, das unsere gesamte digitale Infrastruktur abdeckt?
Für viele Unternehmen war das heute Morgen der digitale Hirntod: Es war keine Kommunikation mehr möglich, man hat keinen Zugriff mehr auf Kalender gehabt. Viele sind mit einem Blindflug in den Tag gestartet.
Zur Person
Dennis-Kenji Kipker ist Professor für IT-Sicherheitsrecht an der Hochschule Bremen.
„Wo können wir unabhängiger werden?“
tagesschau24: Kann man diese Abhängigkeit überhaupt noch verringern? Welche Mittel gibt es?
Kipker: Was Cloud-Infrastruktur angeht, da haben wir sehr viele – auch digital souveräne – Anbieter aus Deutschland und der Europäischen Union. Microsoft redet ja immer von einer Datengrenze, dass die Daten hier sicher vor Ort gespeichert sind. Da muss man sich schon die Frage stellen, wie solche Serverausfälle, die zunächst in den Vereinigten Staaten und in Südamerika aufgetreten sind, dann letzten Endes auch die globale Infrastruktur lahmlegen können.
Was wir im Bereich digitale Souveränität brauchen, ist ein sukzessives Vorgehen. Wir werden nicht von null auf hundert gehen können, sondern müssen zunächst überlegen: Welche sind die ganz kritischen Dienste, die wir jeden Tag benötigen, und wo können wir da etwas unabhängiger werden und auf andere Lösungen zurückgreifen, wenn ein Anbieter ausfällt.
Man hat es ja heute gesehen, wenn die E-Mails nicht mehr funktionieren, dann bricht das gesamte digitale Leben und auch das Arbeitsleben von einer Sekunde auf die andere zusammen.
„Das können wir uns überhaupt nicht mehr leisten“
tagesschau24: Sie haben es bereits gesagt, die Störungen bei Microsoft betreffen den Cloud-Dienst des Unternehmens oder Cloud-Dienste-Anwendungen. Sind Cloud-Dienste vielleicht generell zu unzuverlässig oder zu anfällig? Und sollte man wieder auf lokale Lösungen setzen?
Kipker: Das wird sich, glaube ich, nicht ohne weiteres umsetzen lassen. Microsoft sagt selbst in seinen Nutzungsbedingungen, sie geben 99,9 Prozent Garantie dafür, dass das Ganze funktioniert. Das heißt, was wir heute gesehen haben, sind die 0,1 Prozent. Aber die 0,1 Prozent reichen schon – und wir werden nicht mehr aus der Cloud rauskommen. Wir müssen uns aber überlegen, dass wir uns nicht von einer einzelnen Cloud abhängig machen.
Noch vor wenigen Jahren hat zum Beispiel das Land Niedersachsen bei der IT-Beschaffung gesagt, dass sie Vorreiter sind bei der Nutzung von Microsoft Teams. Sie haben das damit begründet, dass IT aus der Steckdose kommt. Ich glaube, das können wir uns überhaupt nicht mehr leisten, weil IT aus der Steckdose bedeutet: Ich bekomme den Service, ich bekomme den Dienst, ich bezahle dafür – aber was im Hintergrund passiert, das interessiert mich nicht.
In Zeiten eines unsicheren geopolitischen transatlantischen Verhältnisses, von Cyberangriffen auf große Konzerne, Datenschutzsorgen, Sorgen um digitale Souveränität bis hin zu Exportkontrollbeschränkungen, ist das, glaube ich, nicht mehr das Mittel der Wahl, das wir in diesen unsicheren Zeiten fahren können.
Was Cyberkriminelle lernen können
tagesschau24: Es heißt, Microsoft gehe nicht von einem Cyberangriff aus. Was können Kriminelle, die einen Cyberangriff planen, aus dieser Störung lernen?
Kipker: Man kann klar daraus lernen, dass, wenn man einen ganz zentralen Dienst trifft, damit auch die Infrastruktur an vielen anderen Stellen lahmlegt. Cyberkriminelle haben in der Vergangenheit häufig einzelne Firmen oder einzelne Personen angegriffen. Mehr und mehr steigen sie jetzt auch auf diese digitale Lieferkette um.
Vor einigen Jahren gab es den Cyberangriff auf dem Berliner Flughafen, der ist eine kritische Infrastruktur. Der Flughafen selbst wurde nicht angegriffen, aber ein Dienstleister für Gepäck und Passagierabfertigung. Das hat dazu geführt, dass europaweit verschiedene Flughäfen nicht mehr richtig funktioniert haben.
Das heißt, als Cyberangreifer muss man diesen einen neuralgischen Punkt in der digitalen Lieferkette identifizieren, von dem viele Unternehmen abhängig sind. Und wenn man den lahmlegt oder vielleicht auch Datenabflüsse daraus abgreift, dann ist man in der Lage, einen viel, viel größeren Schaden anzurichten, als wenn man jedes einzelne Unternehmen herauspicken und kompromittieren müsste.
Das Interview führte Ralph Baudach für tagesschau24. Für die schriftliche Fassung wurde es leicht überarbeitet und gekürzt.
