Abo
  • Services:

Security: Experte rät US-Regierung, alle Sicherheitslücken zu kaufen

Der Sicherheitsexperte Dan Geer macht radikale Vorschläge, wie Politik und Wirtschaft für mehr Sicherheit im Netz sorgen können. Seine persönliche Maßnahme: Rückzug.

Artikel veröffentlicht am , Patrick Beuth/Zeit Online
Dan Geer auf der Black Hat 2014 in Las Vegas
Dan Geer auf der Black Hat 2014 in Las Vegas (Bild: Reuters/Steve Marcus)

Im großen Ballsaal des Mandalay Bay Hotels in Las Vegas steht eine Koryphäe in Sachen Internetsicherheit und sagt den rund 4.000 anderen anwesenden Sicherheitsexperten, er persönlich könne sich gegen die zunehmenden Angriffe im Netz nur noch wehren, indem er es weniger nutze.

Inhalt:
  1. Security: Experte rät US-Regierung, alle Sicherheitslücken zu kaufen
  2. Geer fordert das Recht auf Falschinformation

Es ist kein Abgesang, keine Grabrede, aber die Keynote von Dan Geer auf der Black-Hat-Konferenz fällt pessimistisch aus. Seine Vorschläge für Cybersecurity as Realpolitik - so hat er seine Rede betitelt - seien in großen Teilen nur die am wenigsten schlechten, sagt er.

Geer ist eine schillernde Figur in der Branche. Er gilt als hoch angesehener Vordenker, als Pionier des Risikomanagements. Er hat bedeutende Netzwerktechnologien mitentwickelt und sich im Jahr 2003 mit Microsoft angelegt. Er war Co-Autor einer Studie, die warnte, das Monopol von Microsoft Windows stelle eine Gefahr für die nationale Sicherheit dar. Sein damaliger Arbeitgeber, die von Geer selbst mitbegründete Beratungsfirma @stake, feuerte ihn noch an dem Tag, an dem die Studie veröffentlicht wurde. Zu den Kunden von @stake gehörte auch Microsoft.

Seit 2008 arbeitet er für In-Q-Tel. Der Fonds vergibt Risikokapital an IT-Unternehmen und bekommt das Geld dafür von der CIA und anderen US-Geheimdiensten, die technisch auf dem neuesten Stand sein wollen. Geer geht davon aus, dass Angriffstechnik sich heute schneller entwickelt als Abwehrtechnik. Er macht in Las Vegas zehn Vorschläge, wie Politik und Wirtschaft darauf reagieren sollten. Keiner davon ist simpel, eindeutig und frei von Nebeneffekten oder Nachteilen. Und längst nicht alle fallen in die Kategorie "Realpolitik". "Für jedes komplexe Problem gibt es eine Antwort, die klar, einfach und falsch ist", zitiert er den Schriftsteller H. L. Mencken. Entsprechend uneindeutig und bisweilen unbequem fallen seine Ideen aus.

Stellenmarkt
  1. Alfred Kärcher SE & Co. KG, Winnenden bei Stuttgart
  2. PFALZKOM | MANET, Ludwigshafen

Die vielleicht radikalste: Geer fordert die US-Regierung auf, alle neu entdeckten und bisher nicht ausgenutzten Sicherheitslücken - sogenannte Zero-Days - aufzukaufen, für zehnmal so viel Geld, wie alle anderen bieten würden. Anschließend sollten sie allesamt veröffentlicht werden, um dadurch das Arsenal für Angriffe durch andere deutlich zu verkleinern. Dabei gilt die US-Regierung schon heute als einer der besten Kunden von Unternehmen, die Zero-Days suchen und verkaufen. Geheimdienste wie die NSA nutzen solche Schwachstellen nämlich selbst für ihre Attacken auf fremde Computer. Was der Monopol-Kritiker Geer also fordert, ist ein Monopol für die USA, das sie dann nicht ausnutzt. Wenn jemand anderes als Geer so eine Idee äußerte, dürfte er umgehend als weltfremder Fantast angesehen werden.

Code, der nicht mehr aktualisiert wird, soll offengelegt werden

Geer fordert zudem die Pflicht für Unternehmen, Zwischenfälle in Sachen Datensicherheit an die Regierung zu melden. Er vergleicht das mit der Meldepflicht von Beinahe-Unfällen im Flugverkehr oder von bestimmten Krankheiten, die zur Folge haben, dass die Betroffenen ins Licht der Öffentlichkeit geraten. Es gibt entsprechende Gesetzesinitiativen für solche Meldepflichten für Cyber-Angriffe in den USA, in Deutschland steht das Vorhaben im Koalitionsvertrag von Union und SPD. Naturgemäß sind die Unternehmen wenig begeistert, müssen sie doch mit einem Imageverlust rechnen, wenn erfolgreiche Angriffe auf ihre Netzwerke und Daten öffentlich werden. Wo die Grenze zu ziehen ist zwischen meldepflichtigen Vorfällen und solchen, die der Öffentlichkeit verschwiegen werden dürfen, weiß aber auch Dan Geer nicht.

Für erheblichen Widerstand in der Software-Industrie dürfte Geers Vorschlag sorgen, dass Unternehmen den Quellcode jedes Programms offenlegen müssen, das sie nicht länger mit Sicherheitsupdates versorgen. Geer nennt Windows XP als Beispiel, wohl nicht zuletzt als Seitenhieb auf Microsoft. Dass solche Unternehmen das als Bedrohung ihres Geschäftsmodells ansehen könnten, ist Geer klar. Er sagt: "Mein Vorschlag wäre die denkbar schlechteste Lösung, mit Ausnahme von allen anderen."

Geer fordert das Recht auf Falschinformation 
  1. 1
  2. 2
  3.  


Anzeige
Blu-ray-Angebote
  1. (u. a. Box-Sets im Angebot, z. B. Die Tribute von Panem - Complete Collection für 19,97€ und...
  2. (2 Monate Sky Ticket für nur 4,99€)

Casandro 09. Aug 2014

Entschuldigung, aber der CCC liefert technische Lösungen. Zum Beispiel betreibt er...

Force8 08. Aug 2014

Der Programmierer baut absichtlich Sicherheitslücken in die Software ein. Dann verkauft...

Moe479 08. Aug 2014

doch die lösung dafür gibt es: die lösung ist den vertrieb von geschlossenen produkten zu...

Moe479 08. Aug 2014

und denkbar ist nur was man sich vorstellen kann und andersherum ... ein teufelskreis...

Anonymer Nutzer 08. Aug 2014

ja genau, die regierung und geheimdienste sind selber ein, wenn nicht der, hauptgrund für...


Folgen Sie uns
       


Nintendo E3 2018 Direct - Golem.de Live

Wir zeigen uns enttäuscht von fehlenden Infos zu Metroid 4, erfreut vom neuen Super Smash und entzückt vom neuen Fire Emblem.

Nintendo E3 2018 Direct - Golem.de Live Video aufrufen
Elektromobilität: Regierung bremst bei Anspruch auf private Ladesäulen
Elektromobilität
Regierung bremst bei Anspruch auf private Ladesäulen

Die Anschaffung eines Elektroautos scheitert häufig an der fehlenden Lademöglichkeit am heimischen Parkplatz. Doch die Bundesregierung will vorerst keinen eigenen Gesetzesentwurf für einen Anspruch von Wohnungseigentümern und Mietern vorlegen.
Ein Bericht von Friedhelm Greis

  1. ID Buzz und Crozz Volkswagen will Elektroautos in den USA bauen
  2. PFO Pininfarina plant Elektrosupersportwagen mit 400 km/h
  3. Einride Holzlaster T-Log fährt im Wald elektrisch und autonom

Raumfahrt: Boeing und SpaceX kämpfen mit dem Regulierungschaos der Nasa
Raumfahrt
Boeing und SpaceX kämpfen mit dem Regulierungschaos der Nasa

Die neuen Raumschiffe von Boeing und SpaceX verspäten sich und werden wohl erst 2020 mit Crew fliegen. Die Aufsichtsbehörde der US-Regierung sieht einen Teil der Schuld beim Chaos im Nasa-Management.
Von Frank Wunderlich-Pfeiffer

  1. Nasa-Teleskop Überambitioniert, überteuert und in dieser Form überflüssig
  2. Nasa Forscher entdecken Asteroiden, bevor er die Erde erreicht
  3. Nasa 2020 soll ein Helikopter zum Mars fliegen

Smartphone von Gigaset: Made in Bocholt
Smartphone von Gigaset
Made in Bocholt

Gigaset baut sein Smartphone GS185 in Bocholt - und verpasst dem Gerät trotz kompletter Anlieferung von Teilen aus China das Label "Made in Germany". Der Fokus auf die Region ist aber vorhanden, eine erweiterte Fertigung durchaus eine Option. Wir haben uns das Werk angeschaut.
Ein Bericht von Tobias Költzsch

  1. Bocholt Gigaset baut Smartphone in Deutschland

    •  /