Digitale Souveränität um jeden Preis? – Was passiert, wenn Datenschutzbedenken auf die Realität treffen (Teil 2)

In diesem Blogbeitrag geht es um Fragen zur digitalen Souveränität. Genauer: ist der Ruf nach digitaler Souveränität im Falle der verschlüsselten Senatsverwaltung nachvollziehbar? Und woran scheitert die digitale Souveränität in der EU gerade?

Da die Inhalte dieses Blogbeitrags auf dem Cyberangriff auf zwei Berliner Senatsverwaltungen beruhen, empfehle ich euch den ersten Teil des Blogbeitrags dieser Reihe.

Kapitel 1: Was ist digitale Souveränität?

Digitale Souveränität ist kein feststehender Begriff, generell versteht man darunter jedoch die Fähigkeit von Individuen, Behörden und Staaten, die IT-Infrastruktur, Daten und Prozesse sicher und unabhängig zu steuern. Das gilt besonders für kritische Infrastrukturen und sensible Informationen.

Kapitel 2: Der Ruf nach digitaler Souveränität - die Angst vor der CrowdStrike-Spionage

Als Folge des Cyberangriffs, beauftragte der Berliner Senat das US-Unternehmen CrowdStrike mit der Aufarbeitung des Vorfalls. (CrowdStrike bietet international Unterstützungsleistungen für Unternehmen an, die akut von Cyberangriffen betroffen sind oder dies vermuten.) Dessen Einsatz verzögerte sich allerdings, denn es gab Widerstände im Bezirk Lichtenberg.

Dieser lehnte die Zusammenarbeit mit dem Incident Response-Dienstleister ab, die Begründung im Kern nachvollziehbar. Man habe Datenschutzbedenken. Das Tool Falcon Agent erhalte nahezu unbegrenzte Datenzugriffsberechtigungen und ermögliche weiterhin die Überwachung von Arbeitsgeräten. Zudem sei es unmöglich sicherzustellen, dass die Software vollständig entfernt werde, es käme zudem zu „teils schwere[n] Störungen in der Ablauffähigkeit von Fachverfahren, Diensten und Programmen und birgt ein erhebliches Risiko bezüglich der Arbeitsfähigkeit des Bezirksamtes.“

Außerdem gab man an bislang keine Hinweise auf eine Kompromittierung entdeckt zu haben. Ob und inwieweit dies durch eine eigene forensische Untersuchung des Bezirks sichergestellt und ausgeschlossen werden konnte, ist bislang nicht öffentlich. Digitalstaatssekretär Florian Hauer (CDU) dagegen bezeichnete den Einsatz von CrowdStrike schließlich als „alternativlos“. Warum ihm die Liste der qualifizierten APT-Response-Dienstleister des BSI unbekannt scheint, bleibt unbeantwortet.

Dann schließlich ein Einlenken des Bezirks. Man werde den Einsatz der Software zulassen, aber nur, wenn der Senat „die volle Verantwortung“ sowie sämtliche Kosten übernähme. Der Senat führte im Gegenzug vertragliche Zusicherungen seitens CrowdStrike an. Daten sollen nur innerhalb der EU gespeichert werden und seien nach Auftragsende vollständig zu löschen.

Ende gut, alles gut, oder?

Kapitel 3: Hypothetische Bedenken vs. realer Sicherheitsvorfall

Nun, so logisch die initiale Argumentation des Bezirks bezüglich der digitalen Souveränität auch scheint, so lückenhaft scheint sie bei näherer Betrachtung. Das ganze aus zwei Gründen.

a. Risikoabwägung: hypothetischen Szenarien und der reale Sicherheitsvorfall

Die zeitnahe Aufarbeitung von Sicherheitsvorfällen ist aus unterschiedlichsten Gründen relevant. Umso schwerer wiegt es, wenn der Dienstleister nicht rechtzeitig mit der Untersuchung beginnen kann.

Logs, Speicherinhalte, Netzwerkverkehr und digitale Artefakte. All diese Informationen haben nur begrenzte Haltbarkeit, können jedoch relevant werden um insbesondere Persistenzen zielsicher zu detektieren. Ein weiterer Grund sind regulatorische Anforderungen. Insbesondere NIS-2 fordert einen Abschluss- oder detaillierten Fortschrittsbericht nach spätestens einem Monat. Forensische Untersuchungen sind allerdings zeitaufwendig. Eine umfangreiche Verzögerung kann also sowohl praktische als auch regulatorische Gefahren mit sich bringen.

Zudem gibt es bislang keinen öffentlich bekannten Fall, in dem CrowdStrike Informationen aus Incidents von Behörden anderer Staaten an die US-Regierung weitergeleitet hätte. Im Zuge einer Risikobetrachtung werden also gerade hypothetische Szenarien mit einem reellen Schaden abgewogen. Daten sind bereits abgeflossen und theoretisch jedermann zugänglich.

Natürlich könnte man hier argumentieren, dass CrowdStrike Zugriff auf deutlich kritischere Informationen erhalten, dann müsste man diese Logik jedoch folgendermaßen konsequent anwenden.

b. Vertrauenswürdigen vs. nicht vertrauenswürdigen Vendoren

Um hier auf den Chaos Computer Club zu verweisen: Es ist wichtig „von wem wir wo unsere sensiblen Daten verarbeiten lassen“. Aber: CrowdStrike ist „eine angesehene und etablierte Firma für Angriffserkennungssoftware“.

Zugegeben, die Firma ist US-amerikanisch. Durch den CLOUD Act, haben US-Behörden potenziell Zugriff auf alle Daten, die ein solches Unternehmen verarbeitet. Andererseits müsste man in diesem Fall aber auch so konsequent sein und diese Logik auf die gesamte Tool- und Software-Landschaft ausweiten.

Wer davon ausgeht, dass der Incident Response-Dienstleister Backdoors im eigenen Netzwerk ausbringt, müsste das ganze eigentlich auch bei namenhaften Herstellern von Betriebssystemen vermuten.

Kapitel 4: Digitale Souveränität ja, aber richtig

Ist es also falsch digitale Souveränität zu fordern? Natürlich nicht. Ganz im Gegenteil, es ist sogar sehr wichtig. Aber es ist zwingend erforderlich die richtigen Fragen zu stellen.

a. Frühzeitige Prüfung europäischer Alternativen

Meiner Meinung nach wird die Frage der digitalen Souveränität oftmals nicht korrekt gestellt. Die Frage sollte nicht sein: warum hat sich der Senat ausgerechnet für ein US-Unternehmen entschieden?

Die Frage sollte vielmehr sein: sind europäische Anbieter für Vorfallsunterstützung ausreichend im Einkauf berücksichtigt worden bzw. warum hat man sie ausgeschlossen?

Proaktive Planung, wie mit Vorfällen umzugehen ist, welche Dienstleister ich in Betracht ziehen sollte und welche ich kategorisch ausschließen kann, beweisen doch erst echte digitale Resilienz.

b. Datenspeicherung ist nicht gleich Datenverarbeitung

Ein weiterer Irrglaube ist die Annahme, dass die Datenspeicherung innerhalb der EU ausreicht, um digital souverän zu sein.

In der Praxis werben viele Anbieter und Dienstleister werben zwar einer Datenspeicherung innerhalb der EU, aber es lohnt sich auch im Kleingedruckten zu prüfen, ob auch die Verarbeitung vor Ort erfolgt.

Schließlich wäre es nicht mehr als ein digitales Feigenblatt, wenn meine Informationen zwar auf EU-Servern liegen, aber für die Verarbeitung, beispielsweise durch KI-Systeme trotzdem auf US-Servern landen.

Ob und inwieweit CrowdStrike nicht nur die Datenspeicherung, sondern auch deren Verarbeitung innerhalb der EU vertraglich zugesichert hat, ist indes öffentlich nicht bekannt.

c. Das Risiko von digitaler Souveränität um jeden Preis

Im Falle von Incident Response-Anbietern gilt: Es gab in der Theorie technologische EU-Alternativen. Die Frage ist, wie gehen wir in den Bereichen vor, in denen das faktisch nicht der Fall ist.

Bestes Beispiel: der aktuelle Entwurf des Cloud and AI Development Act (CADA). Nach diesem soll die EU in den nächsten sieben Jahren die digitale Unabhängigkeit bei Cloud und KI erreichen. Dazu sollen Systeme in vier Stufen eingeteilt werden:

• Stufe 1: Daten müssen physisch in der EU liegen

• Stufe 2: Unabhängigkeit von Drittstaatenrecht und transparente Software-Lieferketten

• Stufe 3: EU-Eigentum und Kontrolle

• Stufe 4: vollständige Transparenz der Software-Lieferkette und keinerlei Einflussmöglichkeiten von Drittstaaten

Laut EU soll zwar lediglich ein Prozent der digitalen Dienste tatsächlich den Ansprüchen an Stufe 4 genügen, aber auch hier zeigt sich wieder, wie Regulierung und Realität aneinander vorbeigehen können.

Fakt ist, technologisch hinken wir bei vergleichbaren Alternativen für KI-und Cloud-Produkte hinterher. Das, nach Schätzungen, bei Spezialanwendungen teils um ein Jahrzehnt. Die Versäumnisse der letzten Jahrzehnte also in nur sieben Jahren aufholen zu wollen, scheint daher unrealistisch.

Kapitel 5: Fazit

Die digitale Abhängigkeit von Drittstaaten ist eine reelle Gefahr. Um ihr zu begegnen ist der Aufbau digitaler Souveränität eines der effektivsten Mittel, die wir besitzen. Man mag sich darüber streiten, ob der Einsatz von CrowdStrike in diesem Fall tatsächlich „alternativlos“ ist, doch diese Diskussion führen wir oftmals schlicht nicht proaktiv genug. Ähnlich scheint es auch Claudia Plattner zu sehen, die digitale Souveränität in einer jüngsten Stellungnahme grundsätzlich für erreichbar hält, es teils aber schlicht an europäischen Alternativen fehle.

Die Frage sollte daher nicht lauten dürfen wir auf Unternehmen und Expertise aus Drittstaaten setzen, sondern:

Wo existieren vergleichbare europäische Alternativen und werden diese von uns ausreichend berücksichtigt?

Sind Angebote von Vendoren aus Drittstaaten, die mit digitaler Unabhängigkeit werben tatsächlich digital souverän?

Und für den Fall, dass derzeit keine solchen Angebote existieren: können und wollen wir diese innerhalb der nächsten Jahre realistisch aufbauen? (Falls ja, wie?)

Wer forciert in diesen Fällen den Aufbau und was tun wir, wie gehen wir damit um, wenn sich Potenziale nicht realisieren?