Die Entstehung eines Queer-Vokabulars

Informationen zum Thema Coming-Out sind heute nur einen Klick entfernt, während sie in den 80ern oft nur über Bücher oder in der Queer-Kultur bewanderten Freunden zu erlangen waren. Durch den globalen Austausch über das Internet hat sich ein einheitlicheres Vokabular etabliert. Mit diesen Begriffen ist es möglich, sich über die Grenzen von Sexualität und Identität hinweg auszutauschen und verstanden zu werden. Essentieller Teil dieses Vokabular ist der Begriff „Queer“, der bereits mehrfach gefallen ist. Queer ist ein Überbegriff für alle Menschen, die nicht Cis-Hetero sind oder im wörtlichen Sinne die „von der Norm abweichen“. Dieser löst heute Begriffe wie LGBT oder LGBTAQ (Lesbisch, Schwul, Bisexuell, Transsexuell, Asexuell oder Androgyn und Queer oder Questioning) ab, da er alle enthält, ohne einzelne hervorzustellen oder andere auszuschließen. Im Internet lassen sich außerdem kurze Definitionen leicht nachschauen, was z. B. Cis-Gender bedeutet: Das sind Menschen, deren Geschlechtsidentität dem Geschlecht entspricht, das ihnen bei der Geburt zugewiesen wurde (wenn diese Menschen heterosexuell sind, sind sie Cis-hetero).  Aber auch lange und ausführliche Artikeln sind zu finden, in denen z.B. erklärt wird, dass man unter Deadname den abgelegten Namen einer trans Person versteht, wie andere respektvoll mit diesem Namen umgehen sollen und es für die trans Personen schlimm ist, wenn sie bei diesem Deadname genannt werden.

Bevor wir uns der Fragen widmen können, wie Digitalisierung das Coming-Out von queeren Menschen beeinflusst hat, muss geklärt werden: Wie war es vor der Digitalisierung sich zu outen? Natürlich ist das Coming-Out ein unglaublich individueller Moment, der durch den eigenen Umgang damit und die Reaktion des Umfeldes geprägt wird. Trotzdem lassen sich Gemeinsamkeiten zwischen den unterschiedlichen Coming-Out-Erfahrungsberichten der Interviewten finden.

Coming-Out vor der Digitalisierung

Sich in den 70ern oder 80ern als Queer zu outen, war ein langer Prozess, den die meisten erst mit Mitte 20 oder sogar noch später angingen. Das Label (Name) der eigenen Identität oder Sexualität war oft nicht bekannt oder so negativ belastet, dass man sich damit nicht identifizieren wollte. Zusätzlich war es oft schwierig, die Queer-Szene zu finden und damit Anschluss an die Menschen, die die eigenen Gefühle nachempfinden können. „Gay-Bars“ und Magazine existierten zwar, allerdings im Verborgenen für die, die nicht danach suchten.Ein Weg war es, zu versuchen, über Bekannte etwas herausfinden, was oft mit viel Scham verbunden war. Endlich im Club voller Gleichgesinnter war es das Ziel, sich selbst auszutesten und herauszufinden, wer man ist.

Durch Austausch und Ausprobieren fanden die queeren Menschen in den Clubs und der Szene, die sich darum gebildet hatte, sich selbst. Der erste Schritt war geschafft.
Das Coming-Out gegenüber Familie und Freunden war der nächste Schritt. Sowohl die eigene Unsicherheit, als auch der Widerwillen vieler Familien über Sexualität und Identität zu sprechen, machte es oft zum offenen Geheimnis. Auch damals gab es natürlich Menschen, die ihre Kinder und Vertrauten akzeptierten und liebten auch wenn deren Sexualität oder Identität nicht der gesellschaftlichen Norm entsprach, aber eben auch viele die es nicht taten. In der Öffentlichkeit waren Queers ein Tabuthema, was sich erst über die kommenden Jahre ändern sollte.

Coming-Out heute

Im Kosmos des Internet, genauer gesagt Reddit, hat sich der Ausdruck „Egg“ (Ei) etabliert. Er bezeichnet Menschen, die möglicherweise trans sind, es aber selbst eben noch nicht mit Sicherheit wissen. Metaphorisch wie emotional gesprochen befindet sich ihr wahres Ich oder der Mut dazu zu stehen, gerade noch im Entwicklungsprozess, in dem es die gesellschaftlich erlernte Heteronormativität  (also die Annahme, dass alle Cis-Hetero sind) zu überwinden gilt.

Eins dieser „Eggs“ war auch Mara, als sie sich mit dem Gedanken, vielleicht trans zu sein, einen Twittter-Account erstellte und damit anderen queeren Menschen auf Twitter folgte, mit deren Erlebnissen sie sich identifizieren konnte. Einige folgten zurück und schnell stellte sich ein Zugehörigkeitsgefühl ein. Innerhalb dieser Umgebung wurden offene Fragen aus eigener Erfahrung beantwortet und emotionaler Beistand geleistet. Die Queer-Bubble (Filterblase) fungierte dabei als Safe Space. Außerhalb dieser sicheren Blase existierte immer noch Maras anderer Twitter-Account unter ihrem heutigen Deadname weiter. Nach über einem Jahr offenbarte sie einzelnen ihrer queeren Online-Freunde den Deadname-Account. Die wenigsten von ihnen waren überrascht, im Gegenteil, die meisten kannten und verstanden die Situation nur zu gut. Nach und nach wuchs der Mut, auch Menschen aus dem echten Leben von ihrer Transgeschlechtlichkeit zu erzählen, bis sie schließlich ihr erstes analoges Coming-Out gegenüber ihrer damaligen Freundin hatte. Auf dieses folgten weitere Outings und Mara konnte anfangen, die Frau zu sein, die sie in ihrem Inneren schon ihr ganzes Leben war.

Digitales Coming-Out gegenüber analogem Coming-Out

Speziell die westliche Welt ist gegenüber unterschiedlichen Sexualitäten und Identitäten offener geworden. Das bedeutet aber nicht, dass queere Menschen nicht noch immer mutig sein müssen und nach wie vor Diskriminierung erleben. Die gesellschaftliche Toleranz hat der Queer-Community Raum gegeben sich zu entfalten. Der Wissenschaftler Sam Miles argumentiert trotzdem: „Internet technology has influenced and shaped queer spaces more than any other single factor“( Das Internet hat den queeren Raum mehr geformt, als alle andere Faktoren für sich genommen). Ein Aussage, die sich auch auf das Coming-Out übertragen lässt.

Erste Anschlusspunkte sind durch Suchmaschinen innerhalb weniger Sekunden zu finden. Durch die aufgeschlossenere Gesellschaft sind oft bereits einige queere Sexualitäten und Identitäten bekannt, die dann privat im Internet tiefer verstanden werden können. Die leichte Zugänglichkeit von Informationen erspart jungen queer Menschen viel Angst und Scham.

Das Internet wimmelt heute nur so von queeren Vorbildern, ob Menschen auf Twitter oder Youtuber*innen, und auch in der Fiktion sind, dank Netflix, mittlerweile viele Queer Charaktere zu finden. Diese können queeren Jugendlichen als wichtige Rollenvorbilder dienen, die Orientierung bei der schwierigen Aufgabe bieten, die eigene Identität zu finden und zu akzeptieren. Außerdem kann Repräsentation in Sozialen Medien und Popkultur dabei helfen, die eigene Cis-Heteronormativität (also die Annahme, dass alle Cis-Hetero sind) schneller zu überwinden und sich selbst trotzdem als Teil der Gesellschaft zu verstehen.

Die Sozialen Medien bieten -richtig angewendet- einen sicheren Raum, um sich auszuprobieren. Miles sagt zur Rolle des Internet: „personality becomes fluid, ephemeral and empowering because people can choose how they are represented.“ (Persönlichkeiten werden fließender, vergänglicher und ein Mittel der Ermächtigung, weil die Menschen sich aussuchen können, wie sie sich darstellen. ) Dies trifft auf Soziale Medien zu, da die Nutzer*innen hier selbst entscheiden, wie viel sie von sich preisgeben und welches Label sie für sich verwenden wollen. Diese Anonymität und Selbstbestimmung steht im starken Kontrast zum analogen Raum, in dem Identität und Sexualität oft Fremdzuschreibungen sind, die von cis-heteronormativien Vorstellungen geprägt werden. Diese zu durchbrechen erfordert Mut und birgt das Risiko der Ablehnung oder sogar Gewalt. Im Safe Space der eigenen Online-Bubble können die Queers sich langsam daran gewöhnen, sie selbst zu sein und darin Selbstbewusstsein aufbauen. Die Unterstützung von anderen Queer-Community Mitgliedern stellt sicher, dass man mit keiner Sorge allein zurück bleibt, sei es durch direkten Kontakt oder indirekt durch das öffentliche Ausdiskutieren.

Im Zusammenhang mit Sexualität bieten auch Dating Apps eine Möglichkeit sich auszuprobieren ohne die Angst, die andere Person könnte einen ablehnen, da sich sexuellen Präferenzen vorab festlegen lassen. Die Suche nach einem „Gay-Club“ oder einem Queer- Jugendzentren ist heute, dank Google, leichter denn je. In den Sozialen Medien wird queeren Jugendlichen die Zeit und der Raum gegeben, den sie brauchen, um sich selbst immer mehr zu akzeptieren, bis sie sich letztlich sicher genug fühlen, um ihre Identität oder Sexualität ihren Mitmenschen auch offline mitzuteilen.

Dieses „Sich an sich selbst gewöhnen“ könnte auch offline in einem unterstützenden und vertrauensvollen Umfeld stattfinden. Ein solches zu haben, ist allerdings keine Selbstverständlichkeit. Gerade wenn das nicht gegeben ist oder die Angst auf Seiten des ungeouteten Queers noch zu groß ist, um sich mit jemand persönlich darüber zu unterhalten, können die Sozialen Medien und ihre Queer-Community eine besonders wichtige Rolle einnehmen und vor Isolationsgefühlen schützen. Dies trifft besonders auf junge Queers zu, die in ländlichen Gebieten leben, in denen es keine Infrastruktur wie queere Jugendzentren für sie gibt. Durch Gofundme (Spendenwebsites) und ähnlichen Plattformen ist es außerdem innerhalb der Queer-Community einfacher geworden, Mitgliedern, die aus einem intoleranten Umfeld kommen, gemeinsam finanzielle Hilfe zur Verfügung zu stellen.

Der queere Cyberspace hat anders als die Clubs der 80er kein Einlassalter und auch alternative Pornografie ist heute einfach online verfügbar. Das und weitere gesellschaftliche Faktoren führen dazu, dass die Menschen, die heute ihr Coming-Out haben, dies weitaus früher tun als noch vor 40 Jahren. Das fand eine britische Studie heraus, die ermittelte, dass sich queere Menschen heute ca. 20 Jahre früher outen, als es noch ihre Vorgängergenerationen getan hat. Das Alter beim Coming-Out schwank heute zwischen 15-17 für die Generationen der bis 25-jährigen, wohingegen die Menschen, die heute 60 sind, ihr Coming-Out durchschnittlich mit 37 Jahren hatten. Die Zahlen sind wie die meisten Zahlen, die es zur queeren Menschen gibt, nicht perfekt, da eben nur die erfasst werden können, die sich geoutet haben. Trotzdem zeigen sie einen eindeutigen Trend, an dem auch die Digitalisierung beteiligt ist.

Auch Eltern und andere Vertrauenspersonen von queeren Menschen stehen durch das Internet andere Ressourcen zur Verfügung als zuvor. Heute gibt es auch Vereine, die es sich zum Ziel gemacht haben, Eltern von queeren Kindern zusammen zu bringen, damit sie sich gegenseitig unterstützen können. Einer dieser Vereine ist Trakine , der Aufklärung zum Thema Trans betreibt, sowie trans Kindern und ihren Eltern Beratung zur Verfügung stellt und Mut machen will.

Doch auch nach dem Offline-Coming-Out endet die Hilfe der Soziale Medien nicht. Innerhalb der Bubble werden Erfahrungen über Diskriminierung ausgetauscht und versucht, dagegen vorzugehen oder wenn das nicht möglich ist, zumindest mit guten Ratschlägen und psychischer Unterstützung beizustehen. Die Interviewpartner*innen haben davon berichtet, dass sie innerhalb dieser online Community echte und langjährige Freundschaften geschlossen haben, die ihnen in schwierigen Zeiten sehr geholfen haben. Gleichzeitig werden öffentlich queere Menschen im Netz auch besonders leicht Opfer von Hass, Unverständnis und Trollen.

Im Vergleich zeigt sich, dass die Digitalisierung, die sich hier vor allem in Form des World Wide und Sozialer Medien zeigt, dazu beigetragen hat, physische Grenzen virtuell zu überwinden. Dadurch ermöglicht sie einen ortsunabhängigen Austausch mit der Queer-Community. Gleichzeitig wird eine ständige Verfügbarkeit von Informationen geschaffen, die ohne menschliche Interaktion im Privaten abgerufen werden kann.

Digitalisierung und Queer-Community Building

Die Queer-Community ist nicht erst durch das Internet und die sozialen Medien entstanden, aber sie ist dadurch besser vernetzt, zugänglicher und sichtbarer geworden.

Durch die gute Vernetzung über Soziale Medien profitieren auch Jugendliche außerhalb von großen Ballungsräumen von der Unterstützung der Community. Erfahrungen können nun leichter von Generation zu Generation weitergereichen werden, vor allem in Ländern, in denen keine queere Öffentlichkeit existiert und die Queer-Communities sehr eingeschränkt sind.
Da die Community im Internet sehr offen auftritt und frei über ihre Erfahrungen und ihr Leben spricht, dienen sie nicht nur als Vorbild, sondern setzen durch ihre Sichtbarkeit in den Medien auch einen gesellschaftlichen Normalisierungseffekt in Gang. Dieser führt dazu, dass queere Menschen mehr als ein Teil der Gesellschaft wahrgenommen werden und weniger stark dazu gezwungen sind Parallelgesellschaften aus zu bilden.
Früher galt es einige Hürden zu überwinden um die Queer-Community zu finden. Heute ist alles nur einen Mausklick entfernt. Diese einfache Zugänglichkeit senkt die innere Überwindung, die queere Jugendliche aufbringen müssen, um sich mit den eigenen Gefühlen bezüglich Sexualität oder Identität zu beschäftigen. Das Internet bietet dafür unendlich viel Material und macht es einfacher, den Kontakt zu anderen queeren Menschen oder Organisationen herzustellen.

Es hat sich also viel verändert: Das Coming-Out ist anders, die Queer-Community an sich ist anders, aber der wichtigste Ratschlag hat sich nicht geändert: Love yourself!

Photo: Rochelle Brown on Unsplash

Immer mehr Nationalstaaten vernetzten ihre zivile Infrastruktur und die Digitalisierung aller Bereiche nimmt weiter zu. Damit steigen auch die digitalen Angriffsmöglichkeiten und viele Staaten basteln weiter an ihren Cyberoffensivkapazitäten. Aber wie genau sehen diese aus, wie funktionieren Cyber-Angriffe, was erwartet uns zukünftig und wie können wir unsere Systeme wirklich sicher machen? Auf diesen Fragen geben die Autoren Constanze Kurz und Frank Rieger in ihrem Buch „CyberWar – Die Gefahr aus dem Netz“ Antwort.

Im ersten Kapitel simulieren die Autoren einen Cyber-Notstand in der Bundesrepublik. Die zuständigen Institutionen, z.B. das fiktive Gemeinsame Cyber-Lagezentrum Deutschlands, werden mit einem Denial-of-Service-Angriff, der später noch genauer erläutert wird, konfrontiert und versuchen die kritischen Infrastrukturen trotz völliger Netzüberlastung zu schützen. Dieser Einstieg bietet die Möglichkeit, sich einen solchen Cyber-Angriff und dessen Dimension vorzustellen. Darauf aufbauend geben die folgenden Kapitel Antworten auf verschiedene Sachfragen der Cyberwar-Thematik.

Wie funktionieren Cyber-Angriffe?

Cyber-Angriffe sind zumeist eine Kombination aus verschiedenen Angriffsmethoden. Häufige Angriffsmethoden sind z.B. das Ausnutzen von Programmierfehlern und Schwachstellen in einer Software, sogenannte Exploits. Weitere oft genutzte Schwachstellen sind auch die durch den Hersteller erstellten Fernwartungszugänge, um Tests oder Ähnliches zu ermöglichen. Teilweise werden solche Zugänge sogar absichtlich offengehalten, um z.B. Geheimdiensten den Zugriff zu erleichtern, so der Verdacht.

Die unsichere IT-Struktur und die freiwilligen und nicht-freiwilligen Kooperationen von Herstellern und Geheimdiensten führen zu einem Vertrauensverfall in der IT-Sicherheit. Die Anfälligkeit vor allem von Software-Systemen hat unterschiedliche Gründe. Zum einen ist die Software-Entwicklung extrem komplex, daher werden einfach Fehler beim Programmieren gemacht, und zum anderen wurden die wenigsten Softwareentwickler im sicheren Programmieren ausgebildet. Ziel der Software-Entwicklung ist anfangs vor allem, dass das System funktioniert und nicht, dass es besonders sicher ist. Die Autoren halten fest, dass eine Mischung aus Unwissenheit, Fahrlässigkeit. ökonomischen Zwängen und falscher Prioritätensetzung, häufig in Startups, zu Sicherheitsrisiken führen. Das Vertrauen in die Dienste geht verloren, da die Nutzer keine Möglichkeit haben zu erkennen, wo ein System solide, bedacht und unter Berücksichtigung des aktuellen Stands der Technik gebaut wurde. Diese „Fehler, Versäumnisse und Gedankenlosigkeit, die beim Programmieren Sicherheitslücken entstehen lassen, bilden die technische Grundlage für Cyberwaffen.“

Angriffswerkzeuge in Cyberkonflikten

Moderne Cyberwaffen werden APT (Advanced Persistent Threat) genannt und so konstruiert, dass sie sich im Zielsystem verstecken, um möglichst lange aktiv zu sein. Sie sind möglichst modular aufgebaut, um leicht übertragbar auf andere Anwendungen zu sein. Die Struktur entspricht dabei häufig sinnbildlichen Stufen. In der ersten Stufe versucht das Angriffswerkzeug die Kontrolle über einen Teil des anvisierten Systems, z.B. über einen Exploit, zu erlangen. In der zweiten Stufe muss der Angreifer eine sogenannte „Privilegien-Eskalation“ erzeugen, da heutige Betriebssysteme häufig über umfangreiche Abstufungen von Privilegien und Rechten verfügen, um am Ende die gewünschten Administratorrechte zu erlangen. In der dritten Stufe macht es sich die Cyberwaffe im System gemütlich und wartet auf den Einsatz.

Die Geheimdienste, z.B. die NSA, nutzen solche Waffen für verschiedenen Zwecke und infizieren weltweit Rechner. Daraus ergeben sich für die Geheimdienste verschiedene Möglichkeiten. Die NSA entwickelte z.B. eine von geheimdienstlichen Partnern mitgenutzte globale „Suchmaschine“, die nicht auf Websites, sondern in Nutzerdaten auf Festplatten nach Stichwörtern sucht.

Die Infiltrierung von Systemen kann auch über Hardware-Hintertüren erreicht werden. Dazu ist jedoch direkter Zugriff auf die Hardware notwendig, weswegen die NSA ganze Chipfabriken gekauft hat. Außerdem fing sie in einer groß angelegten Logistikoperation Produkte der Firma Cisco, einem großen US-amerikanischen Telekommunikationsunternehmen, auf dem Weg vom Hersteller zum Kunden ab und konnte so Manipulationen, die „Implant“ genannt werden, vornehmen.

Ein weiteres Angriffswerkzeug sind die Denial-of-Service-Angriffe, kurz DoS. DoS-Angriffe gehen meistens mit der Überlastung von Netzwerkverbindungen und Serverressourcen einher. Dafür werden sogenannte Botnets verwendet, die eine hohe Anzahl an leicht manipulierbaren, mit dem Internet verbundenen Geräten zu kontrollieren ersuchen. Diese stellen dann auf Befehl des Angreifers legitim aussehende Anfragen, die jedoch so konstruiert sind, dass sie möglichst viele Ressourcen verbrauchen, an die Server des Opfers. Schnell sind die Kapazitäten des Opfersystems erschöpft und die Website oder Dienstleistung nicht mehr erreichbar. Durch die steigende Anzahl an vernetzten Geräten und Haushalten wird das Schadenspotenzial bedeutend gesteigert und die Sorge vor DoS-Angriffen wächst.

Ziele von Angriffen können z.B. auch sensible Industriesteuerungen sein, wie beim berühmten Stuxnet-Angriff auf eine iranische Atomanreicherungsanlage 2010. Die den Amerikanern zugeschriebene Operation gilt als erfolgreichste Sabotageaktion gegen eine Produktionsanlage, ohne dass die Angreifer physisch anwesend waren. Durch den Trend zur Industrie 4.0 werden Angriffe wie Stuxnet vermutlich auch häufiger werden, so die Autoren.

Akteure und Attribution

Die eindeutige Zuordnung eines Angriffs zu einem oder mehreren Akteuren ist in der militärischen und nicht-militärischen Sicherheitspolitik zentral für die Koordinierung von Gegenmaßnahmen. Die sogenannte Attribution ist aber fast nie mit Sicherheit möglich, da Angreifer mit genügend Ressourcen viele Möglichkeiten zur Tarnung haben. Es bleibt mehr oder weniger Glückssache, ob ein Angreifer Fehler begeht und z.B. nicht getarnt oder unverschlüsselt agiert und Spuren hinterlässt. Die Geheimdienste rufen trotzdem nach immer mehr Überwachungskapazitäten, um die Attribution zu vereinfachen. Die Autoren sind sich aber einig: „Letztendlich ist „Cyberabwehr“ nur eine weitere Begründung für eine immer stärker ausufernde Überwachungsgier,“ denn wirklich zuverlässige Attribution ist auch mit mehr Überwachung kaum möglich.

Als wichtigste Akteure in der globalen Cyberwarfare werden unter anderem die „Five Eyes“, die Geheimdienste der USA, Kanada, Neuseeland, Australien und dem Vereinigten Königreich sowie Israel, Russland und China genannt.

Die US-amerikanischen Geheimdienste können dabei mit jährlich mehr als 50 Milliarden Dollar („Black Budget“) auf die größten finanziellen Ressourcen zurückgreifen. Zu ihren Aufgaben gehören die Benennung und Priorisierung von politischen und wirtschaftlichen Spionagezielen und die Forschung an digitalen Angriffswaffen.

Die israelischen Geheimdienste werden als „einer der aktivsten und kreativsten Akteure im globalen Cyberkrieg“ bezeichnet. Deren Strukturen zeichnen sich vor allem durch die enge Zusammenarbeit mit Tech-Firmen und die frühe Talentförderung von Cyberspezialisten in Schulen und dem Militärdienst aus.

Die „Besonderheit der russischen Geheimdienst-Hacker ist ihre enge Verflechtung mit den kriminellen Gruppen in ihrem Land.“ Das hat vor allem historische Gründe, da nach dem Ende der Sowjetunion viele naturwissenschaftlich-mathematisch hervorragend ausgebildete Menschen Berufswege in der Online-Kriminalität fanden. „Es entstand eine große, komplexe Szene mit hoher Arbeitsteilung, die immer wieder Innovationen bei krimineller Malware hervorbrachte.“ Die russischen Behörden machten sich diese Strukturen zu Nutze und gelten heute als „Meister der Täuschung und Irreführung.“

Die chinesischen Geheimdienste konzentrieren sich auf die Wirtschaftsspionage und auf die militärische und politische Informationsbeschaffung. Mit den Cyberfähigkeiten werden aber auch immer wieder Oppositionelle und Aktivisten im eigenen Land bekämpft. Aufgrund der hohen Anzahl an Personal haben die chinesischen Geheimdienste außerdem wahrscheinlich am meisten Cyberoperatoren überhaupt.

Die Autoren betonen im Weiteren die wachsende Relevanz der Überwachungs- und Hackingindustrie als Zulieferer und Dienstleister der Geheimdienste. Die wichtigsten Staaten, in denen sich solche Unternehmen auf einem wenig regulierten Markt etablieren konnten, sind die USA, Frankreich, Israel, die BRD und Großbritannien. Im „Surveillance Industry Index“ erfasst die NGO Privacy International regelmäßig das Wachstum der Branche. In Deutschland wurde vor allem die Firma FinFisher bekannt, sie lieferte eine Variante des Staatstrojaners zum Ausleiten der Daten von Smartphones und Computern.

Disclosure

Seitdem Software-Systeme entwickelt werden, werden Fehler bei der Entwicklung gemacht. Diese Fehler zu suchen ist das erklärte Ziel von IT-Sicherheitsforschern. Doch wie geht man damit um, wenn man eine Sicherheitslücke gefunden hat? Unmittelbar veröffentlichen oder doch den diskreten Austausch mit dem Hersteller suchen? Es besteht immerhin die Gefahr, dass ein Dritter das Wissen direkt ausnutzt und bedeutenden Schaden anrichtet. Bisher lautete die ungeschriebene Regel, die Sicherheitslücke erstmal geheimzuhalten, den Hersteller zu kontaktieren und es dann ggf. zu veröffentlichen. Einige Hersteller zahlen mittlerweile sogar eine Prämie für gefundene Sicherheitslücken, die sogenannte „Bug Bounty“. Diese Prämie stehen dem Geld, das Exploit-Dealer zahlen, die solche Sicherheitslücken an ihre Kunden wie Geheimdienste oder Kriminelle verkaufen, jedoch häufig nach. Als Beispiel dafür dient die Firma Apple, die vor einigen Jahren 200.000 Dollar denjenigen bot, die eine Lücke im Betriebssystem des damals aktuellen iPhones finden. Die auf den Handel mit Schwachstellen spezialisierte Firma Exodus Intelligence bot allerdings mehr als das Doppelte. Aktuell bietet der Exploit-Dealer 1,5 Millionen Dollar für das Eindringen in ein neues Apple-iPhone aus der Ferne.

Der Markt für Exploits wird mit dem Cloud-Computing und der Vernetzung aller möglichen elektronischen Objekte zukünftig auch noch weiter wachsen. Die Autoren empfehlen daher jedem Unternehmen, das Hard- und Softwaresysteme verwendet, die Initiierung eines zahlungskräftigen Bug-Bounty-Programms und eines Schadensbehebungsprozesses.

Die mitunter wichtigste Rolle in der globalen IT-Sicherheit kommt den Sicherheits- und Antivirus-Firmen zu, die oberflächlich betrachtet „Produkte [verkaufen], mit denen Schadsoftware erkannt und entfernt werden kann, mit denen sich Denial-of-Service Angriffe abwehren lassen und Botnetze lahmgelegt werden könne.“ Um ein System zu überwachen und zu schützen benötigt die Software aber Zugriff auf das gesamte System und die gespeicherten Daten. Dateien, die von der Software als verdächtig eingestuft werden, werden dann in die Cloud-Systeme des Anbieters übertragen. Dabei können mitunter auch andere Dateien übertragen werden, die hochsensible Informationen beinhalten. Aufgrund dieser interessanten Datenströme, die „permanent aus den Computern der Nutzer einer Sicherheitssoftware in die Cloud-Server des Herstellers fließen“, sind Sicherheits- und Antivirus-Firmen äußerst relevant für staatliche Geheimdienste. Alle staatlichen Akteure versuchen daher mindestens eine Partnerfirma zu haben. So z.B. Kaspersky in Russland, Symantec und FireEye in den USA, G Data und Avira in Deutschland und die NCC Group in Großbritannien.

Strategie und Taktik in Cyberkonflikten

Schon während des Kalten Krieges etablierten sich Konflikte, die unterhalb der Schwelle eines großen, offen erklärten Krieges lagen. Diese Art von Konflikten erkennen die Autoren auch heute wieder in denen, wo globale Großmächte ihre geopolitischen Interessen verfolgen und unterschiedliche bewaffnete Gruppen militärisch oder finanziell unterstützen oder bekämpfen. Genauso undurchsichtig ist auch die Struktur der Cyberkonflikte. Nur sehr selten ist eine klare Zuordnung möglich. Die Kurz und Krieger halten fest: „Die praktisch nahtlose Integration von Kommunikationsüberwachung, Satellitenbildern, klassischer Spionage, Desinformations- und psychologischen Operationen, Informationen, die aus Digitalgeräten von Gefangenen extrahiert werden, drohnen-gestützten Raketeneinsätzen und Spezialkräfte-Operationen sowie der ökonomischen Manipulation mit Bombenangriffen hat den klassischen Frontalkrieg mit dem massiven Einsatz von Bodentruppen faktisch bereits abgelöst.“ „Das grundlegende Problem dieser Art der Kriegsführung ist, dass das wichtigste Element jeder militärischen Strategie verloren geht: ein klares Ziel der Operation. In der Regel gibt es kein definiertes Ende, keinen Friedensschluss, keine Nachkriegsordnung, keine Kodifizierung der entstandenen Machtverschiebungen.“ Aus den zerrütteten Strukturen durch „nation-building“ wieder einen stabilen Staat zu formen, ist selten erfolgreich und hinterlässt in der Regel nur Chaos.

„Es gibt keine Cyberabschreckung“

Im Kalten Krieg lieferte die atomare Abschreckung klare Strategien und Überschaubarkeit. Im Cyberspace kann das aber nicht funktionieren, auch wenn unter anderem die US-Amerikaner sich das wünschen. Der 2010 durchgeführte Stuxnet-Angriff, der im Buch als neuzeitliches Äquivalent zum Atomwaffentest beschrieben wird, hätte dazu führen sollen, „dass niemand es wagen würde, US-Interessen mit digitalen Waffen zu attackieren.“ Stattdessen wurde Stuxnet so interpretiert, dass „es jetzt üblich, angemessen und akzeptiert sei, mit Cybermitteln verdeckte Angriffe gegen andere Staaten zu führen.“ Alle Staaten, die auf internationaler Bühne mitmischen möchten, entwickeln nun eigene Offensivkapazitäten. Die „Abschreckungstheorie ist ad absurdum geführt.“

Desinformation

Strategische Ziele liefern aber nicht nur Infrastruktur oder Datenbanken, Cyberwarfare kann auch benutzt werden, um gezielt Desinformation zu verbreiten und gesellschaftliche Debatten zu beeinflussen. „Die Manipulation dessen, was der Gegner für die Wahrheit hält, was er glaubt, was seine Sicht der Welt ist, also die Grundlage seiner Entscheidungen und Prioritäten, ist ein altes und gern genutztes Mittel in Auseinandersetzungen. In Cyberkonflikten finden Täuschungsmanöver und Desinformationskampagnen auf vielen Ebenen Anwendung.“ Dabei konzentriert sich der Gegner häufig auf die Manipulation von Meinungen und versucht gezielt Emotionen wie Angst, Ablehnung und Skepsis zu erzeugen. Moderne Beispiele für solche „alternativen Informationskanäle“ sind z.B. RT oder Sputnik. Diese bauen sich über Jahre Glaubwürdigkeit bei den Zuschauern auf, indem sie gezielt Themen in den Vordergrund rücken, über die z.B. in den deutschen Medien weniger oder gar nicht berichtet wird und inszenieren sich als ganzheitliche Journalisten. Gelegentlich eingestreute Desinformationsnachrichten können diese aufgebaute Glaubwürdigkeit, auch wenn sie offensichtlich falsch sind, nicht erschüttern. „Die kurzen Aufmerksamkeitsspannen der Zuschauer und die heute ohnehin hohe Geschwindigkeit des Nachrichtenflusses sorgen dafür, dass die Desinformationsnachricht ihre Wirkung entfalten kann.“

Ein wichtiger Kanal zur Einflussnahme sind die sozialen Netzwerke. Ihre Algorithmen sortieren Inhalte in den Feeds der Nutzer und werten diese auf. Die Einflussnahme läuft dann z.B. über Social Bots, die die relevanten Inhalte verbreiten und somit die Trend-Algorithmen der Netzwerke beeinflussen. Ein weiteres Mittel ist auch das Übertönen von Informationen z.B. durch das Aufblasen von anderen Ereignissen, englisch: drown out. Dieser Methode bedient sich unter anderem die chinesische Regierung, um ihre Bevölkerung zu beeinflussen. Statt einfach nur Inhalte zu sperren, was häufig eher zu Abneigung in der Bevölkerung führt, wird von bestimmten Inhalten und unerwünschten Themen abgelenkt. „Die Social-Media-Mechanismen sind wie geschaffen für diese Technik [drown out], insbesondere in Kombination mit Social Bots.“

Cyberwar im Inneren

Wie für den chinesischen, ist es für die meisten Sicherheitsapparate von großem Interesse, jegliche Information und Kommunikation im Netz zu beobachten. Die Rechtfertigung dessen liefert ein immer weiter gefasster Schutzauftrag des Staates gegenüber den Bürgern. Obwohl die digitale Verschlüsselung mittlerweile 40 Jahre alt ist, konnten die Ermittlungsbehörden lange jede digitale Kommunikation überwachen. Heute trifft der Nutzer jeden Tag auf verschiedenste Arten von Online-Verschlüsselungen. Für viele ist sogar die Ende-zu-Ende-Verschlüsselung von kommunizierenden Geräten alltäglich. Die Beschwerden der Sicherheitsapparate werden daher immer lauter. Bestes Beispiel ist das Protestpapier des FBI von 2016 mit dem Titel „Going Dark“, in dem sie die zunehmende Verschlüsselung kritisieren. Kurz und Rieger halten den Wunsch nach mehr Überwachung, z.B. in Form von offenen Hintertüren für die Geheimdienste, entgegen, dass eine echte Verschlüsselung für eine digitale Gesellschaft zentral ist. Vor allem Unternehmen müssten in ihrer Kommunikation z.B. vor Wirtschaftsspionage geschützt werden. Der Staat, die Bürger und die Unternehmen hätten eigentlich „erhebliches Interesse daran, sichere IT-Systeme zu nutzen“. Wenn der Staat dann aber absichtlich Sicherheitslücken für Überwachung und Angriffe offen lässt, „verletzt der Staat seine Fürsorgepflicht.“

Diese Verletzung wird spätestens seit der Diskussion um den sogenannten Staatstrojaner immer wieder heftig kritisiert. Offensichtlich wünscht der deutsche Staat eine Ausweitung digitaler Überwachung und Angriffe. Ein deutliches Zeichen dafür ist die Gründung der Zentralen Stelle für Informationstechnik im Sicherheitsbereich, kurz ZITis, 2017. Diese „Sicherheitsdienstleistungsstelle“ soll Sicherheitslücken finden, sowie Kryptografie und deren Schwachstellen analysieren. Die Autoren nehmen an, dass die ZITis auch als Dienstleister bei offensiven IT-Angriffen in Stellung gebracht wird. Ziel der Behörde und der staatlichen Bemühungen seien klar: „Der Staat will sich die Fähigkeiten schaffen, um nach Belieben in Digitalgeräte aller Art einzudringen, sie unter Kontrolle zu bringen und gewünschte Informationen zu extrahieren.“

„IT-Sicherheit ist kein Hexenwerk“

Im letzten Kapitel versuchen die Autoren Handlungsempfehlungen für die globale Steigerung der IT-Sicherheit zu geben. Dabei erkennen sie vor allem eine internationale Übereinkunft über Legitimität und Illegitimität digitaler Operationen als zentral an. Orientierungspunkte für die Regelbildung im Cyberwar würde das 150 Regeln umfassende „Tallin Manual“ der NATO liefern. Außerdem halten sie fest, dass Deutschland durch den bisher „unterbliebenen Ausbau von größeren Offensivfähigkeiten in einer hervorragenden moralischen Position wäre, [eine solche Übereinkunft] voranzutreiben.“ Der Schutz deutscher Unternehmen vor skrupelloseren Staaten, die in unmittelbarem Wettbewerb stehen, könne nur erreicht werden, wenn sich für eine sichere IT-Struktur eingesetzt würde. „Die Entscheidung muss hier klar zugunsten der Sicherheit von Bürgern und Wirtschaft und nicht im Sinne der Cyberkrieger und Spionageapparate getroffen werden.“
Außerdem plädieren die Autoren für eine Veröffentlichungspflicht von Sicherheitslücken, da durch gezwungene Offenheit die Unternehmen deutlich mehr in die IT-Sicherheit von vorneherein investieren würden.

Eine weitere Möglichkeit zur Steigerung der IT-Sicherheit sei deren Kennzeichnung. Normale Käufer und Nutzer von IT-Produkten müssten die Möglichkeit haben, sich auf Basis von verlässlichen Informationen für oder gegen das Produkt oder die Dienstleistung zu entscheiden. Beispielhaft steht dafür das US-amerikanische Cyber Independent Testing Lab, das nach dem Muster von „Stiftung-Warentest-artigen Bewertungen halbautomatische Analysen von Software-Paketen durchführt.“ Dabei wird beurteilt, „ob sich Entwickler an den aktuellen Stand der Technik halten, etwa sicher programmieren und die verfügbaren Methoden verwenden, um den erfolgreichen Einsatz von Exploits zu erschweren.“ Ein solche Bewertungssystem könnte eine starke Motivation für Hersteller und Softwareentwickler sein, sich an sichere Softwareentwicklungsmethoden zu halten.

Wichtig bleibt weiterhin die Frage der Haftung. Momentan lehnen Hersteller von Digitalprodukten jede Haftung ab, wodurch zwar die Innovations- und Entwicklungsgeschwindigkeit im Digitalbereich erst ermöglicht wurde, die Anwender aber auch zwingt, ein kaum abschätzbares Risiko einzugehen.

Ein konkretes Prüfsystem könnte auf drei Komponenten beruhen, „einem anerkannten Stand der Technik, Instanzen zur Überprüfung der Einhaltung dieses Stands der Technik und einer Verpflichtung zum Abschluss einer Versicherung, die im Zweifel für die Schäden aufkommt, die durch die risikogeneigte Technologie verursacht werden können.“ Die Autoren halt fest: „Standards einzuführen, um die Sicherheit gegen technisches Versagen zu verbessern, ist prinzipiell einfacher, als technische Systeme gegen Angriffe durch Menschen zu schützen.“ Dazu könnten rechtliche oder finanzielle Vorteile für die Hersteller kommen, die sich an den neuesten Stand halten.

Abschließend plädieren die Autoren für eine defensivere IT-Sicherheitspolitik, statt ausschließlich auf den Aufbau von Offensivkapazitäten zu setzen und damit die „Welt unsicherer und gefährlicher“ zu machen.

Das Buch von Constanze Kurz und Frank Rieger zeichnet sich durch ausgesprochen tiefgehende Expertise aus und versucht den aktuellen Stand bezüglich IT-Sicherheit und Cyberwar-Strukturen auch dem fachfremden Leser zu erklären. Dazu werden die einleitende Kurzgeschichte, aber auch immer wieder illustrierende Beispiele, wie z.B. das Haus, das zwar eine schöne Fassade hat, aber instabile Betonträger, als Sinnbild für unsichere IT-Produkte, genutzt. Durch die ausgewiesene Expertise von Kurz und Rieger eignet sich das Buch nicht nur für Laien, sondern bietet auch Experten fundierte Erkenntnisse und Zusammenhänge.

 

Bild: von Michael Schwarzenberger auf Pixabay

Zentrale Ergebnisse der Studie waren unter anderem die Unterschiedlichkeit der Motivation für das Verbreiten von Fake News in den untersuchten Ländern. In Indien zeigte sich z.B. die Steigerung des Nationalstolz als zentrale Motivation. Für Menschen in den untersuchten afrikanischen Ländern war es hingegen eher wichtig, Informationen weiterzugeben, die jemanden aus dem Netzwerk betreffen könnten oder den Zugang zu Informationen zu demokratisieren. Außerdem hätten “Menschen in den afrikanischen Ländern […] ein großes Interesse daran, auf dem aktuellsten Stand der Nachrichten zu sein, was auch als Prestige gilt. Aufgrund dieser Faktoren können Fake News in private Netzwerke gelangen, obwohl deren Nutzer ein hohes Interesse an verifizierten Nachrichten haben.”

Ziel der Initiative “Beyond Fake News” ist es, global gegen Desinformation vorzugehen und die Diskussion, die sich in den Medien vor allem auf Fake News im Westen konzentrieren, auf alle Staaten auszuweiten.

Zu weiteren Informationen und Ergebnissen der Studie geht es hier.

Titelbild: BBC News

Ziel des Summits ist es laut Veranstalter Jan Thomas, Brücken zu bauen und Corporates, also etablierte Firmen, und Startups zusammenzubringen. Dabei ging es unter anderem um die Zukunft der Arbeit, die Zukunft der Gesellschaft und auch um die Zukunft der einzelnen Unternehmen, denen aufgrund der voranschreitenden Digitalisierung mitunter bedeutende Veränderungen bevorstehen. Bei diesen Veränderungen könnten die Startups helfen, so Thomas weiter, Startups wiederum brauchen die Förderung und Beratung der großen Unternehmen. Somit würden beide Seiten profitieren und den Summit als Plattform der Vermittlung nutzen. Highlights der Veranstaltung waren die Speed-Networking Sessions, bei denen unterschiedliche Persönlichkeiten zusammentreffen konnten und die zum ersten Mal stattfindenden MasterClasses zu Themen wie Blockchain.

Viel Beachtung fand der Vortrag von Chris Boos zum Thema Künstliche Intelligenz. Der CEO von arago, einem Pionier-Unternehmen im AI-engineering, sieht eine gewaltige Transformation der ökonomischen Landschaft. Wirtschaftsmodelle würden sich ändern, z.B. da die individuelle Automatisierung die bisherige Skalenökonomie erübrige. Darüber hinaus erläutert er den Unterschied zwischen Narrow KI-Systemen, bei denen ein Algorithmus auf ein Problem angewendet wird und somit als nur effizienzbringende Insellösung fungiert, und den weitaus wertvolleren General KI-Systemen, die mit einer Technologie mehrere Probleme zu lösen vermögen. Von der deutschen Wirtschaft erwartet er mehr Risikobereitschaft, da es langfristig gefährlicher sei, nicht in die KI-Forschung zu investieren, als es zu versuchen und zu scheitern.

Tiefe Einblicke in die Veränderung von Wirtschaftsmodellen lieferte auch der Vortrag von Florian Heinemann vom Venture Capital Unternehmen Project A. Er skizziert, wie operatives Geschäft und Investment-Geschäft in vielen Unternehmen immer weiter verschmelzen, da die Organisationen im Konkurrenzkampf ständig „Neues in der Pipeline“ haben müssen. Dabei müssen die Organisationen früh erkennen, welche Innovationen ihr operatives Geschäft später mal prägen werden und sich möglichst früh die notwendigen Kompetenzen kaufen oder entwickeln. Außerdem empfiehlt er, die bisherigen Konkurrenzgrenzen zu überdenken, da zukünftig nicht mehr die Hardware, z.B. der Motor eines Autos, sondern vielmehr Komponenten wie Kundenkontakt und Service entscheidend seien. Schwierigkeiten erwartet Heinemann für die deutsche Wirtschaftsstruktur, da die sich weiterverbreitende Tendenz des „Winner takes it all“-Prinzips wie in den USA momentan noch konträr zur mittelständischen Struktur der deutschen Wirtschaft stehe.

Einen etwas anderen Einblick in die Welt der Kreativität und Innovation lieferte der Vortrag von Andre Bappert von der CODE University Berlin. Bappert kritisiert den Konflikt zwischen Theorie und Praxis an vielen Universitäten. „Studierende in Europa verbringen jeden Monat mehr als 1.700 Jahre in Vorlesungen damit, Erkenntnisse von anderen zu erlernen, statt praktisch und innovativ zu arbeiten.“ Dabei hätten Bootcamps und Hackathons doch längst gezeigt, dass alternative Lernmodelle in viel kürzerer Zeit Kompetenzen vermitteln. Bappert gründetet daher die Initiative Eutopia, die ein Netzwerk aus Corporates, Universitäten, Studierenden und NGOs schaffen soll. Darin könnten die Organisationen Probleme definieren, die von den Studierenden in praktischer Projektarbeit gelöst werden könnten. Gemeinsam könne so das europäische Bildungssystem näher an die Praxis gebracht werden und systematisch Innovation betrieben werden. Im besten Fall würde dies sogar noch mit Credit Points belohnt werden.

Insgesamt bot die Veranstaltung nicht nur Netzwerkmöglichkeiten, sondern interessante Vorträge und Anregungen. Beim nächsten Summit in Dresden wird es u.a. um Mobility, Logistik, Transport, IoT und Industrie 4.0 gehen.

 

Titelbild: Philip Matthiessen / politik-digital.de