Secu­ri­ty, also Sicher­heit vor Angrif­fen aller Art, ist nicht leicht zu erreichen.

Ein Begriff, der im Kon­text von IT-Secu­ri­ty recht bekannt ist, ist Secu­ri­ty through Obscu­ri­ty. Damit meint man (angeb­li­che) Sicher­heit, die dar­auf basiert, dass poten­ti­el­le Angrei­fer bestimm­te Din­ge hof­fent­lich nicht wis­sen oder kön­nen. Sol­che „Sicher­heit” ist kei­ne Sicherheit.

Beispiel 1:

Gehei­me Infor­ma­tio­nen auf einer Web­site, die prin­zi­pi­ell jeder abru­fen kann, aber nie­mand kennt die URL.

URLs und Pfa­de all­ge­mein sind nicht dafür ent­wor­fen wor­den, geheim zu sein. Man hat kei­ner­lei Garan­tie, dass nicht aus irgend einem Soft­ware-Feh­ler her­aus der Ver­zeich­nis­baum des Web­space bekannt wird oder ein Angrei­fer eine Lücke fin­det, um sel­ber in die­sem Ver­zeich­nis­baum her­um­zu­stö­bern. Zumal der Web­space-Pro­vi­der den Ver­zeich­nis­baum ein­se­hen kann!

Beispiel 2:

Den Code des eige­nen Sys­tems geheim hal­ten, damit nie­mand weiß, ob und wel­che Schwach­stel­len existieren.

Jedes Pro­gramm, dass man einem Kun­den in die Hand drückt, kann von die­sem auch rever­se-engi­nee­red wer­den, sodass er als Angrei­fer weiß was pas­siert und Schwach­stel­len fin­det. Das dau­ert unter Umstän­den sehr lang und ist auf­wen­dig - aber es geht! Außer­dem braucht man oft den Code gar nicht zu ken­nen, son­dern pro­biert ein­fach ein paar übli­che Schwach­stel­len aus.

Beispiel 3:

Ein Behör­den­mit­ar­bei­ter trans­por­tiert Daten per­sön­lich in einem Lap­top von einer Behör­de zur nächsten.

Die Hoff­nung hier ist, dass ja nie­mand weiß, dass genau der Mit­ar­bei­ter die Daten hat. Abge­se­hen davon, dass es wahr­schein­lich schon inner­halb der Behör­de jeder weiß, der es wis­sen will: Was, wenn der Lap­top geklaut wird?

Passwörter

Sind Pass­wör­ter dann nicht auch Secu­ri­ty through Obscu­ri­ty? Nein. Pass­wort­ba­sier­te Sys­te­me sind expli­zit dar­auf aus­ge­legt, bestimm­te Sicher­heits­ga­ran­tien zu bie­ten. In sol­chen Sys­te­men muss man nicht auf Geheim­hal­tung hof­fen, son­dern weiß, dass nie­mand die­se Bar­rie­re über­win­den kann bzw. ein bestimm­ter wohl­de­fi­nier­ter Schwie­rig­keits­grad gege­ben ist.

Das Ent­schei­den­de Pro­blem bei Secu­ri­ty through Obscu­ri­ty ist, dass es nahe­zu immer eine Men­ge unkla­rer Even­tua­li­tä­ten gibt, unter denen die Sicher­heit zer­stört wer­den kann. Man hofft nur oder nimmt an, dass es nicht pas­siert, dass der Angrei­fer nicht cle­ver genug ist.

Der Über­gang ist flie­ßend und es kommt immer auch dar­auf an, was man geheim hal­ten will - Omas Keks­re­zept? Die Frei­ga­be­codes für die Atom­ra­ke­ten? Je nach­dem tut’s eben auch schon eine gehei­me URL.

Wikileaks vs Guardian

Der Grund, wes­halb ich die­sen Arti­kel heu­te schrei­be ist Wiki­leaks. Der Guar­di­an hat das Pass­wort für das Cable-Gate-Archiv in einem Buch abge­druckt. Er hat dabei ein­fach ange­nom­men, dass das Pass­wort ohne­hin nicht mehr aktu­ell sei und dass nie­mand die Datei fin­det. Secu­ri­ty through Obscu­ri­ty vom Feins­ten: Der Guar­di­an weiß nichts dar­über, ob die Ver­öf­fent­li­chung des Pass­worts pro­ble­ma­tisch ist, aber er macht es trotz­dem - aus Hoff­nung, dass es schon irgend­wie okay sein wird ver­mut­lich. Es ist ja sicher, weil nie­mand die Datei kennt! Nur blöd, dass Datei­na­men viel weni­ger geheim sind und - Über­ra­schung! - es gibt durch­aus Leu­te, die Zugang zur Datei haben!

Kann man von Jour­na­lis­ten erwar­ten, dass sie die Secu­ri­ty-Pro­ble­me ein­schät­zen kön­nen, die durch ihr Han­deln in Kom­bi­na­ti­on mit Wiki­leaks’ ver­schlüs­sel­ten Back­ups erwachsen?
Viel­leicht nicht.
Aber in dem Fall soll­te man erwar­ten, dass sie ande­rer Leu­te Pass­wör­ter nicht in Büchern abdrucken.