Zur aktuellen Sicherheitslage im Internet

Im Folgenden kann kein umfassender Bericht zur aktuellen Sicherheitslage im Internet mit wissenschaftlicher Fundierung gegeben werden. Der Begriff der Sicherheit ist zu vielfältig und das Internet zu vielseitig, als dass dieser Anspruch in vertretbarer Zeit eingelöst werden könnte. Stattdessen soll ein strukturierender Überblick darüber gegeben werden,

• welche Aspekte mit dem Begriff der Sicherheit in Bezug auf das Internet insgesamt angesprochen werden,
• welche Maßnahmen zur Erhöhung dieser Sicherheit in Frage kommen,
• wo aktuell die Defizite und Umsetzungsprobleme liegen,
• was speziell Internet Provider tun können und auf welche Unterstützung und Zuarbeit sie dabei angewiesen sind.

Man findet in der Literatur (und bei Google) nicht so schnell eine Definition des Begriffs Internetsicherheit'. Allgemein wird Sicherheit als Abwesenheit von Gefahr definiert. Dann stellt sich jedoch die Anschlussfrage nach der Art der Gefahren und ihrer Quellen. Die Antwort hängt davon ab, wen man fragt und wie man die Frage genau formuliert.

Wenn man bei Google Internetsicherheit' als Suchanfrage formuliert, erhält man Quellen wie das BSI (Bundesamt für Sicherheit in der Informationstechnik) und Informationen zu technischen Sicherheitsrisiken wie Würmern und Viren. Gibt man hingegen sicheres Internet' ein, stehen Quellen zu Kinder und Internet, Schutz vor Extremismus und Kinderpornographie sowie Hinweise zu sicherem Geschäftsverkehr im Internet ganz oben auf der Trefferliste.

Während sich die deutsche Sprache mit der unterschiedlichen Bedeutungszuweisung in Abhängigkeit von Wortkombinationen helfen muss, gibt es im Englischen zwei verschiedene Wörter für diese beiden Sichtweisen:
Safety' bezeichnet zumeist den Schutz einer Person vor technisch bedingten Gefährdungen. In der Informatik meint man damit den Rechner als Quelle der Bedrohung. Security' bezeichnet den Schutz technischer Güter vor Gefährdungen, in der Informatik ist damit der Rechner (und die in ihm gespeicherte Information) als bedrohtes Objekt gemeint.

In der allgemeinen Literatur zur Sicherheit wird auf deren subjektive und objektive Dimension hingewiesen. Sicherheit kennzeichnet zum einen ein subjektives Gefühl, frei von Gefahr zu sein, zum anderen auch ein objektiv ermittelbares geringes oder auszuschließendes Risiko, einer Gefahr ausgesetzt zu sein. Aus anderen Lebensbereichen wissen wir, dass subjektive und objektive Sicherheit in Bezug auf eine bestimmte Gefahr weit auseinander klaffen können. Solche Wahrnehmungsprobleme sind auch bei den verschiedenen Aspekten der Internetsicherheit zu beachten. In Bezug auf die Debatten in beiden Bereichen gibt es ein weitgehend gemeinsames Grundverständnis: Ausgangspunkt sind entweder bestimmte Gefährdungen oder Schutzziele. Um die Gefährdungen abzuwenden oder die Schutzziele zu erreichen, sollen geeignete Maßnahmen ergriffen werden. In differenzierteren Analysen wird zwischen Sicherheits- und Schutzmaßnahmen unterschieden.

• Sicherheitsmaßnahmen zielen darauf, die Gefährdung an der Quelle unwirksam zu machen oder von dem gefährdeten Gegenstand abzulenken.
• Schutzmaßnahmen zielen demgegenüber darauf ab, die bedrohten Subjekte zu schützen.

Diese Unterscheidung entspricht durchaus unserem Sprachgebrauch. Wenn Person A Person B bedroht, besteht die Sicherheitsmaßnahme darin, Person A in Sicherheitsverwahrung zu nehmen, während die Schutzmaßnahme darin besteht, Person B in Schutzhaft nehmen. Dem entspricht auch die Unterscheidung zwischen Datenschutz auf der einen Seite und Datensicherheit bzw. IT-Sicherheit auf der anderen. Datenschutz ist der Schutz von Personen vor dem Missbrauch ihrer personenbezogenen Daten, Datensicherheit hingegen der Schutz von Daten vor Zerstörung oder Verfälschung. Der AOL Sicherheitsrat sollte sich vor dem Hintergrund dieser Terminologie nicht nur auf Sicherheitsmaßnahmen beschränken, sondern auch Schutzmaßnahmen behandeln. In Bezug auf die inhaltlichen Gefährdungen im Zusammenhang mit der Internetnutzung durch Individuen und entsprechende Schutzziele haben sich seit der zweiten Hälfte der 90er Jahre einige Schwerpunkte gebildet und etabliert. Sie lassen sich in sechs Themenbereiche gliedern, die in unterschiedliche Fachdisziplinen, Ressortzuständigkeiten und politische Handlungsfelder fallen. Vielfach widmen sich Institutionen der Abwehr nur einzelner dieser Gefährdungen:
Schutz von Kindern und Jugendlichen: Hier steht Kinderpornographie ganz oben auf der politischen Agenda. Die Gefahr der Konfrontation von Kindern und Jugendlichen mit jugendgefährdenden Inhalten beschäftigt Eltern und Erzieher. Das Risiko, durch Teilnahme an Online-Kommunikationsprozessen wie Chats Opfer von Gewalttaten zu werden, ist erst in jüngerer Zeit erkannt worden.

Schutz der Menschenwürde: Es gibt zum einen Informationsangebote, die gezielt die Würde anderer Menschen verletzen und/oder aufhetzenden Charakter haben. Angesichts des weltweiten Zugriffs auf Informationen aus anderen Kulturen können diese jedoch auch ohne Absicht der Autoren die Würde und das Ehrgefühl anderer verletzen, Was konkret als Gefährdung empfunden wird, ist auch kulturell bedingt.

Schutz der Persönlichkeit: Bei der Nutzung des Internet fallen vielfältige Datenspuren an. Zum Teil wird mit personenbezogenen Daten offen gehandelt. Die rechtlichen Vorschriften sind international zum Teil unterschiedlich. Allgemein anerkannte Gefährdungen von Persönlichkeitsrechten bzw. der Privacy' sind die Bildung und Weitergabe von Personen- und Verhaltensprofilen sowie das gezielte Ausspionieren von Kontodaten und ähnlichem. In jüngster Zeit ist die Belästigung durch Spam, durch unverlangte Werbe-E-Mails, hinzugekommen.

Schutz bei wirtschaftlichen Transaktionen (Verbraucherschutz): Nutzer werden zu Verbrauchern, wo Internetangebote selbst kostenpflichtig sind oder andere Rechtsbeziehungen eingegangen werden und wo Waren oder Dienstleistungen über das Internet bestellt und ggf. geliefert werden. Die Gefährdungen ergeben sich aus den von den bisherigen Kommunikations- und Distributionswegen abweichenden Prozessen, etwa in Bezug auf die Preisauszeichnung und Feststellung der Identität des Anbieters sowie durch das Ausspionieren von Kontodaten. Daneben finden die bekannten Formen des Betrugs auch bei Geschäften über das Internet statt.

Schutz bei Nutzung fremder Inhalte (i.V. m. Urheberschutz): In der Regel wird der Schutz der Urheber geschützter Werke in den Vordergrund gestellt. Aus einer Nutzerperspektive geht es um deren Schutz bei der Nutzung aus ihrer sicher fremder Inhalte. Wenn Rechte der Urheber oder Verwerter verletzt werden, kann dies zu Maßnahmen der Strafverfolgungsbehörden und zu Bußgeldern führen.

Technische Sicherheit (IT-Sicherheit): IT-Sicherheit wird allgemein durch drei Kriterien definiert, die durch die Internettechnologie gefährdet werden: Die Vertraulichkeit übermittelter Nachrichten wird durch das Store-and-forward-Prinzip der Übermittlung gefährdet. Die Verfügbarkeit und Integrität (Unverfälschtheit) von Daten wird durch die Öffnung von Rechnern zum Netz und darüber eingeschleuste Viren, Würmer, Trojaner und andere Schädlinge gefährdet, die schlimmstenfalls zur Zerstörung von Dateien oder dem Ausfall von Rechnern führen können. Wenn Gefährdungen möglichst an der Quelle unwirksam gemacht werden sollen, müssen die Ursachen analysiert werden. Insgesamt reichen diese von unbeabsichtigten technischen Störungen und der bewussten Manipulation technischer Systeme bis zu bewussten kriminellen Handlungen unter Nutzung technischer Systeme. Auf der Seite der Nutzer kommen als begünstigende oder verstärkende Faktoren die fehlende oder falsche Nutzung von Selbstschutzmitteln wie Virenscanner oder Filtersoftware ebenso hinzu wie das fehlende Erkennen von Risiken und/oder ein Verzicht auf das Ergreifen geeigneter Verhaltensweisen zur Risikominderung.

Weil Kommunikationsprozesse im Netz anders ablaufen, weisen sie andere Gefährdungen auf, denen mit entsprechend vorsichtigem Verhalten begegnet werden kann. Dazu muss man jedoch die geeigneten Vorsichtsregeln kennen und sich daran halten.

Den sechs Gefährdungen und korrespondierenden Schutzzielen können jeweils geeignete Schutzmaßnahmen zugeordnet werden. Sie sind rechtlicher, organisatorischer, technischer oder pädagogischer Art und beziehen sich entweder auf die technischen Objekte (Sicherheitsmaßnahmen) oder die Nutzer (Schutzmaßnahmen). Keine dieser Maßnahmen kann Sicherheit im Sinne der Abwesenheit von Gefahren garantieren. Je mehr dieser Maßnahmen ergriffen und je besser sie koordiniert werden, umso größer ist das erreichte Maß an Sicherheit.

In allen sechs Bereichen werden bestimmte Gefährdungen gesetzlich verboten. Dieser Mindestschutz wird in den meisten Bereichen durch Maßnahmen der freiwilligen Selbstkontrolle, Gütesiegel, Audits u. ä. ergänzt. In allen Bereichen gibt es technische Schutzmittel für Anbieter und Nutzer wie Filtersoftware, Verschlüsselungsverfahren, Virenscanner u. ä. Darüber gibt es Informationen, Anleitungen und Hilfsangebote. In einigen Bereichen kommen als organisatorische Maßnahmen Meldestellen oder Treuhand- und Ombudsstellen hinzu. Regeln und Aufklärungskampagnen für vorsichtiges Verhalten ergänzen in allen Bereichen die übrigen Maßnahmen. Aus der Fülle der Maßnahmen kann noch nicht auf deren Verbreitung, Nutzungsintensität oder Wirksamkeit geschlossen werden. Dazu müsste jede einzelne Gefährdung in unterschiedlich variierenden Situationen untersucht werden. An dieser Stelle können nur einige in den jeweiligen Fachdiskussionen thematisierte offene Fragen und Umsetzungsprobleme benannt werden. Beim Schutz von Kindern und Jugendlichen ist neben dem grundsätzlichen Problem einer altersgerechten Kennzeichnung der Angebote die Qualität der Filtersoftware noch wenig befriedigend. Dies gilt sowohl für die Nutzbarkeit (Usability) als auch für die Effektivität. Die auf Namens- oder Herkunftsdaten bezogenen Filtersysteme weisen bei strenger Einstellung auch positiv zu wertende Inhalte ab. Die Semantik der Sprachen erlaubt es nicht, mit einigen wenigen Regelungen ein so differenziertes Schutzziel in hoher Wirksamkeit zu erreichen. Hoffnungen richten sich daher auf eine Ergänzung durch Labeling- und Rating-Systeme.

Ein zweites strukturelles Problem scheint in der noch nicht optimalen Zusammenarbeit der vielen auf diesem Gebiet tätigen Stellen zu liegen. Darauf wird weiter unten näher eingegangen.

In Bezug auf den Schutz der Menschenwürde gibt es die gleichen Probleme in Bezug auf Filtersoftware und auf die Zusammenarbeit der agierenden Stellen. Allerdings kommen hier interkulturelle Bewertungsunterschiede in beiden Bereichen verschärfend hinzu. Dabei geht es nicht nur um die Gefährdung deutscher Nutzerinnen und Nutzer durch ausländische Angebote, sondern auch um Verletzungen von Angehörigen anderer Kulturen in Deutschland oder irgendwo auf der Welt durch deutsche Anbieter.

Beim Schutz der Persönlichkeit (insbes. Datenschutz) gibt es ein besonders großes Kontrolldefizit, weil die Prinzipien der Datenschutzgesetze auf die Zeit isolierter Großrechner mit dedizierten Programmen und Dateien zurückgehen und diese Prämissen für die Datenerhebung und Speicherung im und über das Internet nicht mehr zutreffen. Die Effektivität der Selbstschutzmittel, insbes. Verschlüsselung, Signaturen und Spamfilter, steht im Zielkonflikt mit der Einfachheit der Bedienung. Unvorsichtiges Verhalten gilt als Hauptursache von Schäden.

In Bezug auf den Schutz bei wirtschaftlichen Transaktionen (Verbraucherschutz) gibt es zwar ein Gefühl der Betroffenheit. Leichtsinniges Verhalten resultiert hier aus subjektiver Unkenntnis oder objektiv schwer zu durchschauenden Handlungskonstellationen. Beim Schutz bei der Nutzung fremder Inhalte liegt das Hauptproblem darin, dass es von den meisten Nutzern gar nicht als Sicherheitsproblem wahrgenommen wird, weil es nicht ihre individuelle und subjektive Sicherheit berührt. Daher kann man statt von unvorsichtigem oder leichtsinnigem Verhalten eher von unbekümmertem Verhalten und fehlendem Unrechtsbewusstsein ausgehen. Zur Verbesserung der technischen Sicherheit gibt es eine Vielzahl prinzipiell wirksamer technischer Mittel. Sie sind für den einfachen Internetnutzer jedoch viel zu kompliziert in der Bedienung, können von ihm in der konkreten Wirksamkeit kaum eingeschätzt werden und unterliegen einem schnellen Versionswechsel.

Zusammenfassend kann man für die Verbesserung der Sicherheit im Internet vor allem drei große Herausforderungen identifizieren:

1. Technische Werkzeuge für die Verbesserung von Kinder- und Jugendschutz (Filter), für den Datenschutz und die IT-Sicherheit (Virenscanner, Firewalls) müssen einfacher in der Installation und Bedienung werden und/oder es müssen bessere Hilfen zur Verfügung gestellt werden.
2. Ein angemessener und wirksamer Einsatz der verfügbaren Werkzeuge scheitert auch an unzureichender Risikoeinschätzung und unvorsichtigem Verhalten. Dem wird durch Informationskampagnen und medienpädagogische Qualifizierung verstärkt Rechnung getragen.
3. Für die Einhaltung rechtlicher Vorgaben durch Anbieter und auch für die Wirksamkeit einzelner technischer Werkzeuge auf Seiten der Nutzer ist eine effektive Kooperation dieser Stellen erforderlich. Dabei geht es nicht nur darum, Zuständigkeiten noch klarer abzugrenzen, sondern die Prozesse des Informationsaustauschs detaillierter und verbindlicher zu verabreden und im Alltag umzusetzen. Für die Überwachung der Einhaltung rechtlicher Anforderungen an Anbieter sind in den einzelnen Schutzbereichen jeweils mehrere staatliche und freiwillige Stellen für Teilaspekte zuständig.

Das vollständige Dokument mit grafischen Darstellungen und einer exemplarischen Beschreibung der Rollenverteilung und der Bedeutung effektiver Zusammenarbeit bei der Sicherstellung des Schutzes von Kindern und Jugendlichen im Internet finden Sie hier als PDF-Dokument zum Download.

 Nach oben

Copyright 2012, SDC.