Es gibt zwei Wege, neue Prototypen zu testen: gut getarnt, wie die Erlkönige der Automobilbranche, oder aber medienwirksam, wie der Jungfernflug eines ersten Flugtaxis über der Stuttgarter Innenstadt mit dutzenden Schaulustigen. Für Hacker gibt es offensichtlich auch einen Mittelweg, wie wir Anfang September erleben durften. Die mutmaßlichen Angreifer selbst blieben dabei wie die Erlkönige gut getarnt, die Attacke wurde allerdings, als sei der Angriff nicht genug, noch einmal medienwirksam auf Twitter kommentiert. Man habe „neue Geräte testen“ wollen.
Dafür wurde stundenlang ein massiver DDoS-Angriff auf die Online-Enzyklopädie Wikipedia gefahren. DDoS steht dabei für Distributed Denial of Service und führt dazu, dass ein Dienst wie Wikipedia nicht mehr oder nur noch eingeschränkt zur Verfügung steht. Interessanterweise braucht es heutzutage nicht einmal mehr einen Computer für solche DDoS-Angriffe. Cyberkriminelle nutzen vernetzte IoT-Geräte wie Haushalts- oder Unterhaltungselektronik, Router oder netzwerkfähige Drucker für ihre Attacken, mit der sie dafür eine Art Lösegeld erpressen, dass sie den Service wieder freigeben.
Was den Hackern bei den vernetzten Geräten einerseits in die Hände spielt, ist die mangelnde Update-Politik der Hersteller sowie die Tatsache, dass die Nutzer solcher Geräte gar nicht wissen, wie Sicherheitsupdates eingespielt werden können. Andererseits sei die IT-Sicherheit für viele IoT-Geräte eben auch nicht ihr Hauptzweck, wie Dr. Christof Beierle vom Horst Görtz Institut für IT-Sicherheit (HGI) der Ruhr-Universität Bochum, erklärt: „Viele IoT-Geräte sind sehr klein und verfügen nur über wenig Speicher- und Rechenkapazität. Die gängige Verschlüsselung würde hier entweder zu viel Speicherplatz oder zu viel Energie benötigen. In vielen Fällen beides.“
Als Beispiel bringt Beierle medizinische Implantate an, die zwar nach außen kommunizieren, gleichzeitig aber möglichst wenig Energie verbrauchen sollen. Sonst müsste die Batterie nämlich regelmäßig im Rahmen einer Operation gewechselt werden. Dass ein Hacker einen Herzschrittmacher oder ähnliche Medizintechnik für seine Zwecke missbraucht, darf allerdings auch keine Option sein. Deshalb wird derzeit an der Lightweight-Kryptografie geforscht, für die man aktuell in den USA neue Standards setzen will. Das National Institute of Standards and Technology, kurz NIST, hat hierfür einen Wettbewerb für neue Ansätze ausgeschrieben, mit denen auch unter extrem eingeschränkten Bedingungen eine sichere Verschlüsselung möglich sein soll. Beierle ist Teil von zwei der insgesamt drei Forscherteams des HGI, die auf der Suche nach den neuen „Fliegengewichten“ in der Verschlüsselung bereits in der zweiten Runde des Wettbewerbs sind.
Angesichts der steigenden Anzahl an Cyberangriffen muss man sich allerdings insgesamt die Frage stellen, wie hoch die IT-Sicherheit ob der zahlreichen Digitalisierungsvorhaben im Land ist. Mit Blick auf die gängigen IT-Anwendungen gibt Beierle jedoch Entwarnung: „Die für Cloud-Anwendungen standardisierten Verschlüsselungsverfahren gelten beispielsweise als mathematisch sicher. Es empfiehlt sich daher immer Standards zu verwenden, wenn welche verfügbar sind. Sollte doch einmal eine Sicherheitslücke auftreten, kann die schnell behoben werden – und zwar flächendeckend. Probleme tauchen meist nur auf, wenn die Protokolle fehlerhaft implementiert wurden.“ Allerdings dürfe man bei Cloud-Anwendungen Datensicherheit und Datenschutz nicht verwechseln. Wer auch beim Datenschutz auf der sicheren Seite sein will, sollte auf den höheren deutschen Standard setzen und sich für eine in Deutschland gehostete Cloud entscheiden.
Die IT-Sicherheit ist also immer da in Gefahr, wo neue Bereiche von der analogen in die digitale Welt transferiert werden wie beim Internet der Dinge – oder aber wenn sich in der Mathematik etwas verändert. Beispiel die TLS-Protokolle der Cloud: Sie beruhen auf einer Kombination aus symmetrischer und asymmetrischer Verschlüsselung, was aktuell mathematisch sicher ist. Die Sicherheit eines der asymmetrischen Verfahren beruht jedoch darauf, dass es derzeit nicht möglich ist, eine Zahl – sofern sie groß genug ist – effizient in ihre Primfaktoren zu zerlegen. Das könnte sich jedoch mittelfristig ändern, wenn den Quantencomputern der Durchbruch gelingt, an dem unter anderem im Forschungszentrum Jülich gearbeitet wird.
Vereinfacht ausgedrückt macht sich diese neue Generation der Computer die Gesetze der Quantenmechanik zunutze, um die Rechenleistung signifikant zu steigern. Gemessen wird die Rechenleistung der Quantencomputer in QuBits. Analog zum Bit weist auch ein QuBit die klassischen Zustände 1 und 0 auf, nur ist es dort kein Entweder-oder, sondern ein Sowohl-als-auch, was die „Superposition“ 1 und 0 ermöglicht. Damit sind selbst parallele Rechenoperationen möglich, mit denen Quantencomputer eine asymmetrische Verschlüsselung im Handumdrehen in ihre Primfaktoren zerlegen. Also müssen auch hier neue Standards in der Verschlüsselung gefunden werden, an denen das amerikanische NIST ebenfalls arbeitet. Und auch in diesem „Post-Quantum Cryptography“-Projekt sind drei Forscherteams des HGI mit ihren Ideen mittlerweile in die zweite Runde vorgerückt.
In Jülich will man in nur drei Jahren den größten Quantencomputer Europas bauen. Allerdings reiche diese Rechenleistung laut Beierle noch nicht aus, um aktuelle Verschlüsselungsstandards anzugreifen: „Der Quantencomputer in Jülich soll bis zu 100 QuBits beinhalten, für einen wirksamen Angriff auf aktuelle Verschlüsselungsstandards wäre allerdings ein Vielfaches mehr an Qubits nötig.“ Grund, sich zurückzulehnen, sei das jedoch nicht, betont Beierle: „Es gibt zwei Argumente, sich bereits heute mit quantensicherer Verschlüsselung zu beschäftigen: Erstens die teilweise langen Produktzyklen, durch die vernetzte Produkte auch in 20 Jahren noch sicher sein müssen, und zweitens die langfristige Sicherheit. Denn theoretisch ist es möglich, sich heute verschlüsselte Daten und Informationen zu besorgen, um sie zu entschlüsseln, sobald die Quantencomputer dazu in der Lage sind.“