Was brächte uns ein China-Ban? Expertenmeinung zu geschlossenen Systemen.

Mehrere Medien griffen am 15. Februar unkritisch die Meldung aus den USA auf, dass sechs Direktoren von CIA, FBI, NSA und weiteren US-Geheimdiensten den US-Senat vor der Nutzung von Geräten der chinesischen Unternehmen Huawei und ZTE gewarnt hätten. "Wir sind sehr besorgt darüber, Unternehmen, die einer ausländischen Regierung verpflichtet sind und die nicht unsere Werte teilt, Zugang zu unserem Telekommunikationsnetz zu gewähren", übersetzt Heise den FBI Direktor Chris Way, CNBC zitierend.

Die vornehmlich in den USA beheimateten Reddit-Kommentatoren belächeln die Aussagen der Sicherheitsleute hingegen auf vielfältige Weise: "Was wollen die Chinesen schon mit meinen Daten?" oder "Die Sicherheitsdirektoren ärgern sich bloß, dass sie in chinesische Hardware nicht ihre amerikanische Spionage-Software installieren können."

Chinas Werte mögen Zweifelhaft sein, selbst wenn es 60.000 seiner Soldaten zum Bäumeplanzen gegen den Klimawandel abstellt. Huawei muss aus lokalpolitischen Gründen mit der Regierung zusammenarbeiten, kümmert sich jedoch auch um soziale Probleme wie das der Lootboxen in Games, will es diese doch mit einer Altersgrenze versehen. Doch ob wir China oder Huawei vertrauen können, ist gar nicht der Kern des Problems. Die entscheidende Frage ist doch, wie Hardware beschaffen sein müsste, damit man dieser vertrauen kann.

Denn es ist gleichgültig, ob die Elektronik in China, Finnland oder den USA hergestellt wird, so lange unabhängige Dritte nicht in ihr Inneres blicken dürfen. Denn ZTE, Huawei, Nokia sowie Qualcomm entziehen sich jener Kontrolle; im Namen der Sicherheit aber auch aus Angst vor Nachmachern, versteht sich. Wir haben die Librem-5-Chefentwicklerin Nicole Faerber um ihre Sichtweise zu dem Thema gebeten. Und sie erklärt den Sachverhalt aus Sicht der Open-Source-Welt:

Sicherheit in IT Systemen zu gewährleisten ist seit Jahrzehnten ein großes Problem und es gibt unterschiedliche Ansätze und Schulen dazu. In den Anfängen der Computer wurde dies oftmals versucht durch besondere Geheimnisse zu erschaffen - Zugangsschlüssel, bestimmte Verfahren, die nur einer besonderen Gruppe bekannt waren etc. Dies ist das Modell von Sicherheit durch Verschleierung oder auch Englisch oft als "security by obscurity" bezeichnet.

Diese Verfahren sind gerade mit Computern keine gute Idee. Ein Zahlenschloss an einem Tresor mag recht sicher sein, denn das Ausprobieren einer großen Menge an Kombinationen würde zu lange für einen effektiven Angriff brauchen. Doch bei Computern ist die Situation deutlich anders. Milliarden Kombinationen können gegebenenfalls in sehr kurzer Zeit einfach probiert werden, ein so genannter Brute-Force-Angriff. Gleiches gilt natürlich auch für jede Art von Verschleierung durch bestimmte Verfahren oder Technologien. Es ist dann nur eine Frage der Zeit, bis eine Lücke gefunden werden kann.

Auch in der IT können Verfahren und Zugänge sicher gemacht werden - so sicher es zu einem bestimmten Zeitpunkt eben geht. Doch Verschleierung ist dafür die ungeeignetste Methode. Verfahren zur Absicherung von Systemen sollten immer frei zugänglich sein, über ihre theoretische Beschreibung und Dokumentation, bis hin zu angewendeten Verfikationsverfahren und Implementationsdetails, wie den Software Quelltexten. Erst wenn dies alles transparent offengelegt wird, kann dies auch auch von einer breiten Öffentlichkeit überprüft (auditiert) und eventuelle Schwächen aufgedeckt oder eben die Sicherheit bestätigt werden.

Nicht offenen Systemen kann man per-se nicht vertrauen.

In der Folge muss jede Person für sich selbst überlegen, welches Sicherheitsniveau sie auf welche Sicherheitssysteme anwenden möchte. Bei einem Computer, der nicht vernetzt in einem privaten Arbeitszimmer steht, kann einem dies recht gleichgültig sein. Doch bei einem Computer, den ich mit mir herumtrage, bereits deutlich weniger, da ich nicht mehr notwendigerweise zu jedem Zeitpunkt die physische Kontrolle darüber habe. Noch schwieriger wird es bei einem portablen System, welches auch noch drahtlos vernetzt ist! Nicht nur, dass ich das Gerät nicht mehr physisch kontrollieren kann; nun können auch, ohne meine Kontrolle und Zutun, Dritte per Funkverbindung auf mein Gerät zugreifen.

Die Sicherheitsanforderungen an drahtlos vernetzte Geräte sollten also von Haus aus sehr hoch sein. Doch hohe Sicherheit ist, wie zuvor beschrieben, eigentlich nur mit offenen und öffentlich auditierbaren System realisierbar. Die Modembausteine in modernen Smartphones enthalten eine hoch komplexe Firmware, die selbst viele Megabytes groß ist - weit über 50 MByte sind keine Seltenheit. Die Firmware ist meist ein eigenes Betriebssystem und implementiert komplexe Protokoll Stacks und viele Funktionen, die gar nicht nach außen sichtbar sind. Bei dieser Menge Code ist es sehr unwahrscheinlich, dass dieser fehlerfrei ist. Doch durch Verschleierung (Obscurity) müssen wir annehmen, dass der Code dennoch "sicher" ist.

Neben der Sicherheit gibt es jedoch auch den Aspekt, dass in dieser Menge Code auch Funktionen implementiert sein könnten, die vielleicht einmal für Entwicklungszwecke eingebaut wurden, aber nicht mehr deaktiviert wurden und nun schlafende Risiken bergen. Oder es könnten Funktionen enthalten sein, die zwar gut gemeint sind, aber die die Privatsphäre der Nutzer kompromittieren - die allseits beliebten "Nutzungsdaten" zum Beispiel. Oder ein Firmware-Update Over-the-Air (OTA), welches ohne das Zutun des Benutzers eingespielt wird und das Gerät verändern und kompromittieren könnte. Bei offenen Systemen wären solche Funktionen offensichtlich, sie würden gefunden, geprüft und gegebenenfalls entfernt oder so eingeschränkt, dass der Benutzer die Kontrolle darüber erhält.

Ob oder inwieweit nun die Modem-Bausteine oder ihre Firmware bösartige Bestandteile enthalten, ist kaum zu sagen. Spätestens seit Edward Snowden ist allerdings klar. wie weit der Einfluss beispielsweise von Regierungen geht und wie kritische Infrastruktur infiltriert und ausgenutzt wird. Vertrauen ist gut, Kontrolle aber noch besser! Bei einem freien Smartphone wäre aller Quellcode ist frei zugänglich und alles was nicht frei zugänglich gemacht werden kann, würde so implementiert, dass der Benutzer diese Teile zumindest gezielt durch Hardware-Schalter ausschalten kann.

Es gibt also durchaus Bemühungen in der Industrie und Strömungen in den Expertenkreisen, die sich klar für mehr Transparenz in Daten-übertragender Hard- und Software aussprechen. Ohne harte Eingriffe durch den Gesetzgeber werden diese jedoch nicht aus der Nische kommen und nur für eine kleine Gruppe von interessierten Menschen sichtbar sein. Dabei geht das Thema jeden an, denn jeder hat eine Privatsphäre, aber auch ein Recht auf Schutz durch den Staat.

Das Beispiel aus den USA zeigt jedoch, dass dieser Schutz oft nicht im Sinne der Beschützten zur Debatte gebracht wird. Vielmehr läuft ein Wettlauf darüber ab, ob unsere Daten in staatliche oder private Hände gelangen sollen, und in welchem Land diese Daten kontrolliert werden.

Es sollte aber gleichgültig sein, aus welchen Ländern die "Werte" kommen, die der FBI-Direktor so anzweifelt. Kein einziger Chip-Hersteller verdient blindes Vertrauen, so lange all unsere persönliche Daten durch seine obskuren Architekturen fließen. Nur ein Zwang zur Öffnung, und wenn er nur in einem anonymen Peer-Review-Verfahren durchgesetzt würde, wäre die Lösung.

Bis dahin dürfen wir nicht glauben, dass ein Hersteller oder ein Land beim Umgang mit unseren persönlichen Daten besser wäre als der oder das andere.