• IT-Karriere:
  • Services:

Provider dürfen keine Inhalte auslesen

Zudem darf der Provider "Teile des Datenverkehrs von und zu einem Nutzer, von denen eine Störung ausgeht, umleiten, soweit dies erforderlich ist, um den Nutzer über die Störungen benachrichtigen zu können". Ebenfalls darf der Telekommunikationsanbieter den Traffic zu einer "Störungsquelle einschränken und unterbinden". Solche Störungsquellen seien beispielsweise Command-and-Control-Server, sogenannte Dropzones, in die gestohlene Daten ausgeleitet würden, oder Server, über die Schadsoftware verteilt werde, heißt es in der Begründung.

Stellenmarkt
  1. Polizeipräsidium Ludwigsburg, Böblingen
  2. über duerenhoff GmbH, Raum Villingen-Schwenningen

Die große Koalition will allerdings sicherstellen, dass die Provider damit keine inhaltliche Analyse ihres Traffics vornehmen. So wird in Paragraf 100 des TKG der Satz eingefügt: "Die Kommunikationsinhalte sind nicht Bestandteil der Steuerdaten eines informationstechnischen Protokolls zur Datenübertragung." Es handele sich bei den Steuerdaten "um Informationen, die sich aus den verschiedenen Layern des sogenannten OSI-Schichtenmodels der ITU ergeben, also um Informationen zu technischen Übertragungsprotokollen, nicht jedoch um Inhalte eines Kommunikationsvorganges, die damit übertragen werden".

Was tun mit Post-Requests?

Solche HTTP-Floods gehören zu sogenannten Application-Layer-Attacken oder Level-7-Attacken, da die Anwendungsebene im OSI-Schichtenmodell die Nummer 7 trägt. Gerade bei Post-Floods wie bei Suchanfragen oder dem Hochladen von Webformularen werden allerdings auch inhaltliche Parameter übertragen, um beim angegriffenen Server komplexere Datenverarbeitungen auszulösen. Konsequenterweise dürften Provider daher keine Post-Floods analysieren, da sie dafür Kommunikationsinhalte untersuchen müssten.

Der Koalition geht es mit dem Gesetz jedoch nicht nur um die Abwehr von DDoS-Angriffen, wie sie zuletzt häufig über das Mirai-Botnetz ausgeführt wurden. "Wir halten die Ermächtigung für notwendig, um den Schutz lebenswichtiger Telekommunikationssysteme zu gewährleisten", sagte der Berichterstatter der SPD-Fraktion, Gerold Reichenbach, auf Anfrage von Golem.de. Der Telekom-Angriff habe gezeigt, dass Router zu kritischen Telekommunikationsinfrastrukturen würden. "So ist zum Beispiel bei VoIP auch die Absetzung von Notrufen von der Funktionsfähigkeit von Routern abhängig. Dies wird künftig das gesamte Telekommunikationsnetz betreffen, da alle Anbieter die vollständige Umstellung auf VoIP planen und zügig umsetzen", sagte der SPD-Abgeordnete.

Telekom-Ausfall war keine DDoS-Attacke

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Da Router aber nicht integrierter Teil der kritischen Infrastruktur seien, würden sie vom IT-Sicherheitsgesetz nicht erfasst. "Sie könnten dies nur werden, wenn wir, was politisch nicht gewollt ist, einen Routerzwang einführen würden", sagte Reichenbach. Gleichwohl würden aber auch dann entsprechende Angriffsszenarien wie das Ausschalten von Routern durch "Botnetz-Dauerbeschusss" weiter existieren.

Inwieweit letzteres ein realistisches Szenario ist, steht auf einem anderen Blatt. Der Ausfall der Telekom-Router im vergangenen November wurde durch einen Bug verursacht, der bei der massenhaften Verbreitung einer Malware dazu führte, dass das Netzwerkrouting auf den Speedport-Geräten durch die Angriffsversuche nicht mehr funktionierte.

Gütesiegel für IT-Sicherheit gefordert

Das eigentliche Probleme bei den jüngsten DDoS-Attacken, beispielsweise über das Mirai-Botnetz, sind daher unsichere Geräte im sogenannten Internet of Things (IoT). Der Innenausschuss räumt in seiner Gesetzesbegründung ein, dass Deutschland keine eigenen Gesetze erlassen könne, um zusätzliche Anforderungen an internetfähige Produkte zu stellen. Daher wird die Bundesregierung aufgefordert, "das in der 'Cyber-Sicherheitsstrategie für Deutschland 2016' angekündigte Gütesiegel für IT-Sicherheit unter Einbeziehung von Verbraucherschützern, Wirtschaftsvertretern, IT-Sicherheitsexperten und Gewerkschaften auszuarbeiten". Zudem soll sie sich auf europäischer Ebene dafür einsetzen, "dass verbindliche Anforderungen an IT-Sicherheitseigenschaften für die Bereitstellung auf dem Markt von internetfähigen Produkten auf europäischer Ebene geschaffen werden".

Der Bundestag soll am kommenden Donnerstag über das Gesetz abstimmen. Während die Linke sich enthalten will, lehnen die Grünen den Entwurf ab. Sie halten die Ansiedlung des BSI beim Bundesministerium des Innern weiterhin für "äußerst problematisch". Der Grund: Das der Fachaufsicht des Innenministeriums unterstehende Bundesamt für Verfassungsschutz erhalte enorme Summen für die Aufdeckung von Sicherheitslücken, während die Wirtschaft verpflichtet werde, dem BSI die eigenen entdeckten Sicherheitslücken zu melden. Daher fehle eine Vertrauensbasis für Unternehmen, um sich im Schadensfall an das BSI zu wenden.

Zudem kritisieren die Grünen, dass der Änderungsantrag dem Ausschuss erst am Tag vor der Abstimmung Ende März vorgelegt worden sei. Das passt allerdings gut zum derzeitigen Aktionismus der großen Koalition bei netzpolitischen Themen. Vor allem beim Gesetz gegen die Verbreitung von Hasskommentaren in sozialen Netzwerken wird Union und SPD ein übereiltes Vorgehen vorgeworfen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 DDoS-Angriffe: Koalition erlaubt Analyse und Blockade von Botnetz-Traffic
  1.  
  2. 1
  3. 2


Anzeige
Top-Angebote
  1. (u. a. LG 43UP76906LE 43 Zoll LCD für 482,50€ (inkl. Cashback), Gigaset C 430 A Duo 2x...
  2. 55,99€ (Bestpreis)
  3. 413,10€ (mit Rabattcode "PRAKTISCH" - Bestpreis)
  4. 96,90€ (inkl. Rabattgutschein - Bestpreis)

bombinho 21. Apr 2017

Ja ja, zentralisierte Dienste, Botnetze mit Zertifikat und Authentifizierung, Sicherheit...

PlonkPlonk 21. Apr 2017

da fühlt man sich gleich viel sicherer, oder nicht?


Folgen Sie uns
       


Razer Kyio Pro Webcam - Test

Webcams müssen keine miese Bildqualität haben, wie Razers Kyio Pro in unserem Test beweist.

Razer Kyio Pro Webcam - Test Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /