Jusletter IT

Wie auch der breiten Öffentlichkeit durchaus bekannt, werden Schwachstellen in Computerprogrammen von Kriminellen gerne dazu genutzt, Kommunikation sowie Computersysteme zu manipulieren, Zugriff auf Daten wie etwa Zugangsdaten, Kreditkartennummern etc. zu erlangen und in Folge Opfer zu schädigen. So stiegen laut Cybercrime-Report 2012¹ die Delikte im Bereich Cyberkriminalität in Österreich im Vergleich zum Jahr 2011 um mehr als 100% an, was sich nicht zuletzt auf sorglosen Umgang der Bevölkerung im Bezug auf die Internetnutzung zurückführen lässt.²

Doch nicht nur Kriminelle, auch Nachrichtendienste nutzen Schwachstellen in Computerprogrammen extensiv aus, wie der Spiegel³ und der Guardian⁴ im Gefolge der «Snowden-Leaks» berichteten.

Diese Dienste versuchen einerseits, verdeckte Einflussnahme auf Softwarehersteller auszuüben, um absichtlich Hintertüren, sogenannte «Backdoors», während der Softwareentwicklung einzuschleusen. Andererseits wird versucht, möglichst viele Informationen über in Software vorhandenen Sicherheitslücken zu sammeln, um fremde IT-Systeme zu überwachen oder zu manipulieren.

So wurde unter anderen die «ANT»-Abteilung der NSA mit dem Ziel geschaffen, bestehende Lücken für Geheimdienstzwecke nutzbar zu machen sowie Backdoors zu entwickeln. Mittels eines Katalogs⁵, ähnlich dem eines Versandhauses, bietet ANT anderen NSA-Abteilungen bzw. befreundeten Diensten zahlreiche soft- wie hardwarebasierte⁶ Infiltrationsmethoden an. Diese verschaffen den Nachrichtendiensten unzählige Möglichkeiten, welche unter anderem vom Kompromittieren von Personen⁷, Erlangen geheimer Regierungsinformationen bis hin zu Industriespionage reichen.

Oft ist es in der Praxis nicht möglich, zwischen absichtlich eingebauten Backdoors und aufgrund von Programmier- und Konfigurationsfehlern vorhandenen Sicherheitslücken zu unterscheiden. Dies ist vor allem auf Beweisprobleme zurückzuführen, würde doch kein Hersteller zugeben, sich nachrichtendienstlichem Druck gebeugt und wissentlich die Sicherheit der eigenen Produkte verwässert zu haben. Andererseits liegt es auch im Rahmen des Möglichen, dass einzelne Programmierer ohne Wissen ihres Arbeitgebers Backdoors in einem Programm hinterlassen. Die Komplexität und der Umfang heutiger Computerprogramme machen es schlicht unmöglich, jede einzelne Zeile eines Computerprogramms und jede noch so kleine Änderung am Programmcode auf deren Korrektheit hin zu prüfen.

Betrachtet man den Problemkreis der unabsichtlich in einem Programm vorhandenen Fehler genauer, so kann vereinfacht dargestellt zwischen zwei Arten von Fehlern unterschieden werden:

Viele Fehler sind durchaus im Vorfeld erkennbar und würden sich im Zuge einer eingehenden Qualitätskontrolle vermeiden lassen. So kommt es nicht selten vor, dass Sicherheitsprobleme so offensichtlich sind, dass sie von einem erfahrenen Anwender mit relativ simplen Mitteln zu erkennen sind.

Als Beispiel kann hier ein Sachverhalt angeführt werden, welcher im Dezember 2003 seinen Ausgang nahm⁸. So berichtete ein Benutzer von einem mysteriösen Dienst⁹, welcher auf seinem Router¹⁰ vorhanden sei. Es dauerte jedoch bis zum Jahresende 2013, also ca. 10 Jahre, bis dieser Meldung nähere Beachtung geschenkt wurde. In Folge der Enthüllungen eines Sicherheitsspezialisten kam zu Tage, dass genau jener Dienst, welcher sich auf Routern diverser Hersteller findet, ein angeblich vergessener Wartungszugang ist, mithilfe dessen die Konfiguration betroffener Geräte gelesen und manipuliert werden kann. Zu entdecken war diese Lücke mit einfachsten Mitteln, da für erfahrene Anwender mithilfe eines Portscans¹¹ leicht festzustellen ist, dass ein verdächtiger Dienst auf einem Gerät vorhanden ist. Es ist unverständlich, warum dieser nicht schon im Rahmen der Qualitätskontrolle entdeckt wurde. Die Vermutung, betroffene Hersteller hätten ihre Geräte nicht einmal den grundlegendsten Sicherheitstests unterzogen, liegt nahe.

Diesen leichter erkennbaren Fehlern sind diejenigen gegenüberzustellen, die in der komplexen Logik und dem enormen Umfang¹² des Programmcodes versteckt sind und oft erst dann zu Tage treten, wenn diese dazu ausgenutzt werden, Angriffe auf IT-Systeme durchzuführen. Dies ist nicht zuletzt darauf zurückzuführen, dass die zahlreichen Einsatzmöglichkeiten moderner IT-Systeme es den Herstellern im Vorhinein schlicht unmöglich machen, alle Anwendungsszenarien zu bedenken bzw. zu testen und somit jeglichen Fehler im Vorfeld auszuschließen.

Je nach Beschaffenheit eines Sicherheitsproblems ergibt sich ein weiter Spielraum möglicher Gefährdungspotentiale, welche aufgrund von deren Diversität nur demonstrativ dargestellt werden können.

Abhängig von der Art der Schwachstelle, der betroffenen Gerätekategorie sowie der betroffenen Software reichen die Möglichkeiten vom Überwachen aller Eingaben über das unbemerkte Aktivieren von integrierten Mikrophonen oder Kameras, dem Manipulieren von aufgerufenen Websites bis hin zur Möglichkeit, beliebige Daten zu kopieren und zu manipulieren. Um einen Eindruck von der Tragweite real möglicher Angriffe zu vermitteln, sollen nun drei Beispiele näher erläutert werden:

1. Immer wieder treten Lücken an Routern für Heim- oder Firmennetzwerke auf, die es ermöglichen, deren Konfiguration bzw. Software zu manipulieren. So nützten Kriminelle eine Lücke aus, konfigurierten ein betroffenes Gerät um und richteten innerhalb einer halben Stunde einen Schaden von ca. € 4‘000.– an, indem sie die im Router integrierte Telefoniefunktion dazu nutzten, Mehrwertnummern anzurufen¹³. Bekannt wurde die Lücke, da die Betroffenen diesen Sachverhalt in Folge der hohen Telefonrechnungen zur Anzeige brachten. In weiterer Folge kam zu Tage, dass fast alle aktuellen Routermodelle eines bekannten Herstellers von dieser Schwachstelle betroffen waren und diese es auch ermöglicht hätte, die gesamte über die betroffenen Geräte abgewickelte Kommunikation zu belauschen.
2. Subtiler gelang es Angreifern in einem ähnlich gelagerten Fall, zahlreiche von einer Lücke betroffene Router derart zu manipulieren, dass diese den Netzwerkverkehr auf Zugangsdaten überwachten und diese an die Angreifer weiterleiten. Die Existenz dieser Lücke wurde erst in Folge von Recherchen eines IT-Fachmagazins entdeckt, besonders brisant war die Lücke für eine betroffene deutsche Anwaltskanzlei, da Zugangsdaten für alle Mail-Accounts der Kanzlei an Angreifer gelangten und somit die Vertraulichkeit jeglicher Kommunikation von vorherein nicht gewährleistet war.¹⁴
3. Über Monate unentdeckt blieb auch eine Lücke in jenem Teil des Programmcodes eines Betriebssystems, welcher für die korrekte Verschlüsselung von Websiteaufrufen zuständig ist. In Folge dessen waren Computer, Smartphones und Tablets, welche auf der gleichen Betriebssystemfamilie basierten, monatelang einem erhöhten Sicherheitsrisiko ausgesetzt, da deren Browser auch im Fall von Manipulation eine korrekte Verschlüsselung anzeigte. Obwohl die Lücke großen Wiederhall in der Fachpresse fand, wurden keine konkreten Angriffe bekannt, jedoch sind es genau solche Lücken, welchen es Nachrichtendiensten besonders leicht machen, auch verschlüsselte Kommunikation, beispielsweise den Zugriff auf Mailkonten, ohne Wissen der Betroffenen komplett mitlesen zu können. Auch Kriminelle könnten derartige Lücken dazu nutzen, besonders brisanten Datenverkehr zu manipulieren – so wäre es beispielsweise möglich gewesen, von betroffenen Geräten aus vorgenommenes Internetbanking derart zu manipulieren, dass Überweisungen nicht auf den vom Benutzer angegebenen Konten landen, sondern auf Konten der Kriminellen umgeleitet werden. Die Art der Lücke und die konkrete Ausgestaltung des Programmcodes, welcher diese verursachte, ließ in der Fachwelt die Vermutung aufkommen, es könnte sich hierbei auch um ein gezielt platziertes Backdoor handeln. Aufgrund der schon angesprochenen Beweisproblematik konnte dies bisher jedoch nicht zweifelsfrei belegt werden.¹⁵

Sicherheitslücken sowie Backdoors sind nicht zuletzt deshalb besonders gefährlich, da sie im Gegensatz zu Fehlern an klassischen Waren je nach betroffener Software eine fast unüberblickbare Menge an Anwendern treffen. Dazu kommt, dass es aufgrund der Verbreitungswege von IT-Produkten für den Hersteller, z.B. im Gegensatz zu einem Autoproduzenten, oft unmöglich ist, alle Abnehmer seines Produktes über Sicherheitsrisiken zwecks deren Behebung direkt zu informieren.

Natürlich liegen Fehler in der Natur jeder von Menschen erbrachten Arbeit – deren Vorhandensein lässt sich also nie komplett ausschließen. In Folge dessen stellt sich jedoch die Frage nach einer «machbaren» bzw. zumutbaren Reaktion auf diese Sicherheitsprobleme.

Viele Nutzer sind bereits dahingehend sensibilisiert, Virenscanner und Firewalls auf den von ihnen genutzten Geräten zu installieren. Oft wird jedoch aus den Augen verloren, dass Sicherheitssoftware auf einem PC oder Smartphone nicht die restliche Infrastruktur vor Sicherheitsrisiken schützt – Router oder moderne Netzwerkdrucker sind vollwertige Computer, enthalten ebenfalls Sicherheitslücken und sind deswegen genauso attraktive Angriffspunkte wie klassische PCs. Diese Tatsache gewinnt durch die Entwicklung, herkömmliche Geräte wie Kühlschränke «smart» zu machen und mit dem Internet zu verbinden, an zusätzlicher Relevanz.

Auch die beste Sicherheitssoftware kann nur wenig Schutz bieten, wenn nicht alle installierten Programme in Form von Aktualisierungen auf dem neuesten Stand gehalten werden. Zwar reagieren die meisten Hersteller zeitnahe auf entdeckte Lücken und bieten entsprechende Aktualisierungen an, betagte, offiziell nicht mehr unterstützte Produkte erhalten jedoch oft keinerlei Aktualisierungen mehr¹⁶.

Doch auch für den Fall, dass Aktualisierungen vorhanden sind, ergibt sich das Problem, dass derzeit nur Computer, Smartphones und Tablets über automatische Mechanismen verfügen, welche Aktualisierungen ohne Benutzerinteraktion vornehmen. Die meisten anderen Geräte, wie beispielsweise Router, können nur manuell durch den Benutzer aktualisiert werden. Dies bedeutet, dass der Benutzer einerseits Kenntnis von der Verfügbarkeit der Aktualisierung erlangen und andererseits jenes technische Know-How besitzen muss, um diese durchführen zu können.

In rechtlicher Hinsicht stellen die hier dargestellten Sicherheitslücken zuallererst einmal Produkt-Mängel dar, die – innerhalb der regelmäßig im Vordergrund stehenden privatrechtlichen Beziehungen zwischen Hersteller, (Zwischen-)Händler und Endverbraucher – auf dem Zivilrechtswege geltend zu machen wären. Dabei ist jedoch schon aus der Perspektive des je einzelnen Endverbrauchers zu beachten, dass Gewährleistungsansprüche – die sich gegen den vom Endverbraucher selbst ausgewählten unmittelbaren Vertragspartner, d.h. den Verkäufer des Geräts bzw. gesonderter Software, richten – jedenfalls nur auf Mängelbehebung pro futuro bzw. Preisminderung bzw. Wandlung (d.h. Rückabwicklung des Vertrages¹⁷) gerichtet sind¹⁸, nicht aber auch auf die Erstattung von Mangelfolgeschäden. Für diese haftet der unmittelbare Vertragspartner des Endverbrauchers nur bei eigenem Verschulden; ein solches wird freilich oft genug entweder bereits objektiv betrachtet nicht vorliegen¹⁹ oder aber vom Endverbraucher schlicht nicht zu beweisen sein.

Nun gibt es genau deshalb überdies eine «Produkthaftung»²⁰, mit der derartige Schadenersatzansprüche – grundsätzlich auch verschuldensunabhängig – gegen den Hersteller oder auch den Importeur erhoben werden können. Sieht man näher zu, dann dürfte freilich auch dieses Institut in seiner Effektivität an beachtliche Grenzen stoßen:

Schon das österreichische Produkthaftungsgesetz²¹ schließt nicht nur seine Anwendbarkeit dann aus, wenn ein «Unternehmer» die betreffende «Sache überwiegend in seinem Unternehmen verwendet hat» (§ 2 Z 1), was gerade im hier behandelten Kontext den gesamten Bereich betrieblicher EDV diskriminiert, sondern verweigert einen Ersatzanspruch überdies, wenn «die Eigenschaften des Produkts nach dem Stand der Wissenschaft und Technik zu dem Zeitpunkt, zu dem es der in Anspruch Genommene in den Verkehr gebracht hat, nicht als Fehler erkannt werden konnten» (§ 8 Z 2), worauf sich wohl gerade IT-Hersteller gerne berufen werden.

Dazu kommt freilich, dass die Geltendmachung von Produkthaftansprüchen im – bei IT-Produkten regelmäßig gegebenem – internationalen Bezug weder in materiellrechtlicher²² noch in formellrechtlicher Hinsicht²³ für den Geschädigten ganz einfach sein dürfte.

Prinzipiell sind Beeinträchtigungen der IT-Sicherheit natürlich auch strafrechtlich sanktionierbar (vgl. für Österreich etwa §§ 118a, 119a des Strafgesetzbuches [StGB]²⁴). Freilich stoßen gerade auch hier Verfolgungshandlungen regelmäßig an die Grenzen der jeweiligen Zuständigkeit der jeweiligen staatlichen Strafgerichtsbarkeiten.²⁵

Dieser Befund limitierter Effektivität des gegenwärtigen zivil- wie strafrechtlichen Schutzes kontrastiert eigentümlich mit der grundrechtlichen Perspektive:

Denn auch wenn im Einzelnen hinsichtlich der Rechtsnatur von «Information» noch vieles strittig ist²⁶ – auf zivilrechtlicher Ebene konkurrieren eine sachenrechtliche²⁷ und eine persönlichkeitsrechtliche²⁸ Perspektive – so ist doch klar, dass «Information» rechtlich gesehen keinesfalls eine «terra nullius» darstellt: in grundrechtlicher Hinsicht kommen hier – blickt man nur, parte pro toto, in die EU-Grundrechte-Charta (EUGRC) – vornehmlich in Betracht die Rechte auf Datenschutz (Art. 8), auf (geistiges) Eigentum (Art. 17 [Abs. 2]), aber auch jene auf Schutz der Privatsphäre als solcher (Art. 7) sowie auf Meinungsfreiheit (Art. 11)²⁹; darüber hinaus kann man – wie das dBVerfG³⁰ – sichtlich auch ein Grundrecht auf «informationelle Selbstbestimmung» als Ausfluss des Rechts auf «freie Entfaltung der Persönlichkeit» (Art. 2 Abs. 1 des deutschen Grundgesetzes [dGG]) und damit letztlich als Ausfluss der «Würde des Menschen» überhaupt (Art. 1 Abs. 1 dGG; Art. 1 EUGRC) annehmen.

Unter der Voraussetzung, dass sowohl die «rule of law»³¹ im allgemeinen wie Art. 1 EMRK im Besonderen den Staat nicht nur zur Respektierung von (Grund-)Rechten, sondern auch zu deren Gewährleistung verpflichten³², ist der oben erzielte Befund mangelnder Effektivität nicht nur von rein rechtspolitischer, sondern auch bereits von rechtsdogmatischer Relevanz. Die nachfolgenden Ausführungen zielen daher darauf ab, Vorschläge, wie künftig dieser Gewährleistungspflicht besser entsprochen werden könne, zu erstatten, freilich vor dem Hintergrund bereits existierender derartiger Ansätze.

Der Europäischen Union ist die Problematik sichtlich bereits seit Jahren bewusst, wie nicht nur eine Fülle unverbindlicher Rechtsakte³³, sondern auch das seit Jahren praktizierte Bestreben, die Problematik einer breiteren Öffentlichkeit näher zu bringen,³⁴ zeigt. Darüber hinaus sind insbesondere nachstehende vier Maßnahmen hervorzuheben.

Ein wichtiger Schritt war die Errichtung der europäischen Agentur ENISA (European Network and Information Security Agency), welche 2004 zunächst durch eine Verordnung³⁵ für einen Zeitraum von fünf Jahren gegründet wurde und ihren Sitz in Kreta hat. Ziel von ENISA ist es, zu einer hohen Netz- und Informationssicherheit innerhalb der Europäischen Union beizutragen und eine entsprechende Kultur zu entwickeln (EwGr 15). Dieses Mandat wurde in weiterer Folge, vor allem, weil die Bedeutung des Themas Internetsicherheit erkannt wurde, immer wieder verlängert (2008,³⁶ 2011³⁷). Da die Bewertung³⁸ von ENISA einige Schwachstellen aufzeigte, wurde zur Modernisierung eine neue Verordnung³⁹ erarbeitet. Diese trat am 19. Juni 2013 in Kraft und verlängert ENISAs Mandat für weitere sieben Jahre; sie trifft strukturelle Änderungen, wie die Einrichtung einer Außenstelle in Athen (Art. 26 Abs. 4), und überträgt ENISA neue Befugnisse.

ENISA hat zunächst einmal die Funktion einer Denkfabrik.⁴⁰ Sie soll als Forum⁴¹ für den Austausch von Erfahrungen im Bereich der Netz- und Informationssicherheit dienen und Kontakte zu Organen, Einrichtungen und sonstigen Stellen der EU, staatlichen Behörden, der Wirtschaft und Verbraucherschutzorganisationen aufnehmen. Darüber hinaus wird ENISA beratend tätig, gibt beispielsweise Mitgliedstaaten und der EU fachkundige Ratschläge zur Verbesserung der Netz- und Informationssicherheit oder unterstützt bei der Analyse⁴² von Sicherheitsproblemen.⁴³ Auf Aufforderung berät ENISA überdies die Kommission bei technischen Vorarbeiten für die Aktualisierung und Weiterentwicklung des EU-Rechts.⁴⁴

Seit Anfang 2013 besteht ein bei Europol in Den Haag angesiedeltes Europäisches Zentrum zur Bekämpfung der Cyberkriminalität (European Cybercrime Center, EC3).

Das Zentrum soll strafrechtliche Ermittlungen der Mitgliedstaaten gegen illegale Online-Tätigkeiten organisierter krimineller Gruppen (z.B. im Zusammenhang mit Online-Finanztätigkeiten, Cyberattacken auf kritische Infrastrukturen und sexueller Ausbeutung von Kindern im Internet) unterstützen, eine gezielte Schulung von Strafverfolgern, Richtern und Staatsanwälten gewährleisten, sowie EU-weite Lösungen fördern. Erfahrungen und Informationen sollen gebündelt, Forschung und Entwicklung erleichtert und Bedrohungsanalysen und Frühwarnungen erstellt werden.⁴⁵ EC3 soll auch mit anderen Einrichtungen, darunter auch ENISA⁴⁶ zusammenarbeiten.⁴⁷

Auf nationaler Ebene ist beispielsweise in Österreich ein Cyber Crime Competence Center (C4) im Aufbau, in dessen Rahmen Experten des Bundeskriminalamtes, des Bundesamtes für Verfassungsschutz und Terrorismusbekämpfung sowie des Bundesamtes zur Korruptionsprävention und -bekämpfung zusammenarbeiten sollen.⁴⁸ Es soll als zentrale Koordinierungs- und Meldestelle zur Bekämpfung der Cyberkriminalität fungieren, eine Schnittstelle zu den Zentralstellen in anderen Ländern sowie zum EC3 und zum bei Interpol eingerichteten Digital Crime Center (IDCC) bilden⁴⁹ und bis Ende 2014 personell massiv (von 15 auf 49 IT-Spezialisten) aufgestockt werden.⁵⁰

Darüber hinaus wurden IT-Notfallteams, sogenannte Computer Emergency Response Teams (CERT), auf öffentlichem und privatem Sektor errichtet. Sie sammeln Informationen zu Sicherheitsproblemen und geben Warnungen, Tipps und Einschätzungen der aktuellen Sicherheitslage heraus. Darüber hinaus kommt ihnen beratende, koordinierende und unterstützende Rolle beim Auftreten konkreter Sicherheitsprobleme zu, über deren Existenz diese entweder durch Verständigung betroffener Stellen, Eigenrecherche oder Meldungen von dritter Seite Kenntnis erlangen.⁵¹ In der 2010 beschlossenen Digitalen Agenda für Europa⁵² verpflichtete sich die Kommission, ein CERT für die EU-Institutionen zu schaffen und sprach sich deutlich dafür aus, dass die Mitgliedstaaten ihrerseits solche IT-Notfallteams einrichten. Nach einem einjährigen Pilotprojekt wurde 2012 das CERT-EU zu einer ständigen Einrichtung⁵³ erhoben, die die EU-Institutionen in enger Zusammenarbeit mit deren IT-Sicherheitsteams bei Angriffen auf die Netz- und Informationssicherheit unterstützen soll.⁵⁴ Auch soll sie enge Kontakte zu den CERT in den Mitgliedstaaten pflegen und unter anderem auch mit ENISA und EC3 zusammenarbeiten.⁵⁵

In Österreich besteht schon seit 2008 ein vom Bundeskanzleramt in Kooperation mit nic.at gegründetes IT-Notfallteam (CERT.at) für den Unternehmens- und eines (GovCERT.gv.at) für den Behördenbereich. Freilich ist deren Kapazität auch aufgrund der personellen Strukturen begrenzt. Derzeit besteht z.B. das Team CERT.at aus neun Personen.⁵⁶

Anfang 2013 veröffentlichte die Kommission gemeinsam mit der Hohen Vertreterin für Außen- und Sicherheitspolitik eine Cybersicherheitsstrategie⁵⁷ sowie einen Richtlinienvorschlag,⁵⁸ der die Gewährleistung einer hohen gemeinsamen Netz- und Informationssicherheit zum Ziel hat. Hierzu sieht sie dreierlei Maßnahmen vor:

• Erstens sollen die Mitgliedstaaten ein Mindestniveau an nationalen Kapazitäten schaffen, die sich mit der Netz- und Informationssicherheit befassen. So sollen zuständige Behörden und CERT geschaffen sowie nationale Netz- und Informationssicherheitsstrategien bzw. Kooperationspläne erarbeitet werden.
• Zweitens sollen die unionsweit errichteten zuständigen Behörden in weiterer Folge miteinander eng kooperieren.
• Drittens verpflichtet die Richtlinie nach dem Muster der Rahmenrichtlinie für die elektronische Kommunikation⁵⁹ gewisse Unternehmen in besonders betroffenen Sektoren sowie die öffentliche Verwaltung dazu, einerseits Risiken zu bewerten und geeignete, angemessene Maßnahmen zur Gewährleistung der Netz- und Informationssicherheit zu ergreifen und andererseits den zuständigen Behörden alle Sicherheitsvorfälle zu melden, welche ihre Netze, Informationssysteme und kritischen Dienste ernsthaft beeinträchtigen.

Ohne die bisherigen Initiativen gering zu achten, meinen wir doch, dass noch mehr getan werden könnte; abschließend daher drei weiterführende Vorschläge:

Zwar hilft die Verschlüsselung von Kommunikation nicht in jedem Fall, sprich dann nicht, wenn die Geräte bzw. Programme, von welchen die Datenübertragung ausgeht, selbst von Sicherheitslücken betroffen sind. Verschlüsselung kann aber insbesondere das Belauschen von Übertragungen an allen anderen Geräten oder Übertragungsmedien innerhalb der Kommunikationskette, wie beispielsweise von Lücken betroffener Router oder das «Anzapfen» von Glasfaserverbindungen, verhindern, weswegen der Trend, Verschlüsselung auf breiter Basis einzusetzen, sehr zu begrüßen ist.⁶⁰

Dabei kommt es jedoch entscheidend auf den Einsatz effektiver, sicherer Verfahren an. Im Rahmen des Projekts «Bullrun» verfügt die NSA über Methoden, gewisse im Rahmen von SSL/TLS und damit HTTPS⁶¹ genutzte Verschlüsselungsarten abzuhören.⁶² Beispielsweise sei hier die im April 2014 bekannt gewordene «Heartbleed» Lücke⁶³ genannt, die lange Zeit unentdeckt blieb und zumindest ein halbes Jahr vor deren Bekanntwerden nachweislich ausgenutzt wurde, um verschlüsselte Kommunikation zu belauschen⁶⁴. Um solchen Gefahren zu begegnen, muss neben dem grundsätzlichen Einsatz von Verschlüsselung und der ständigen Überprüfung der benutzten Verfahren sowohl auf Benutzerseite als auch auf Seiten der Betreiber sichergestellt werden, stets aktuelle Softwareversionen einzusetzen.

Wie bereits angesprochen, könnten schon im Vorfeld bestimmte Sicherheitslücken durch eine verstärkte und effektivere Qualitätssicherung vermieden werden. Es sollten also bereits die Hersteller verpflichtet werden, laufend Qualitätskontrollen nach eng festgelegten Maßstäben vorzunehmen. Mit Blick auf dennoch auftretende Sicherheitslücken müssten umfassende Meldepflichten geschaffen werden, um die ehestmögliche Information der Benutzer, Hersteller sowie Behörden sicherzustellen.⁶⁵ In weiterer Folge sollten Hersteller verpflichtet werden, zeitnahe Aktualisierungen bereitzustellen, welche möglichst ohne Zutun der Nutzer eingespielt werden sollten. Zur Überwachung bzw. Durchsetzung (einschließlich der Sanktionierung⁶⁶) dieser Maßnahmen wäre die Schaffung einer Behördenstruktur in der Art der Telekom-Regulierungsbehörden⁶⁷ oder Datenschutzbehörden⁶⁸ notwendig, welche bereits bestehende Einrichtungen wie CERT und ENISA⁶⁹ tunlichst integrieren sollten.⁷⁰

Die Schaffung einer derartigen Struktur ist im Grundsatz schon im Richtlinienvorschlag⁷¹ vorgesehen, allerdings müsste die derzeit noch nach Art. 3 Abs. 8 i.V.m. ErWG 24 vorgesehene – auch⁷² unseres Erachtens nicht gerechtfertigte – Ausnahme von Soft- wie Hardwareherstellern gestrichen werden, um die Anwendung auch im Bereich der hier in Rede stehenden Sicherheitslücken und Backdoors zu gewährleisten, zumal derzeit ja auch die Rahmenrichtlinie⁷³ nur Telekommunikationsunternehmer, nicht aber Hard- und Softwarehersteller, verpflichtet.⁷⁴

Hinsichtlich solcher Maßnahmen ist freilich eine unionsweit enge Abstimmung unabdingbar; u.E. wäre daher, nach dem Muster des gegenwärtigen Vorschlages einer Datenschutz-Grundverordnung⁷⁵, durchaus zu erwägen, nicht, wie derzeit vorgesehen, lediglich eine Richtlinie, sondern eine Verordnung anzuvisieren.

Die Effektivität des in Punkt 4.2. skizzierten verwaltungspolizeilichen Systems stiege natürlich in dem Maße, in dem nicht nur Zwischenhändler, sondern auch relevante Hersteller dieser Rechtsordnung vollumfänglich unterlägen. Mittelfristiges Ziel der europäischen Politik sollte es daher sein, darauf hinzuwirken, dass sich der Anteil europäischer Hersteller am europäischen Markt signifikant erhöhe.⁷⁶

---

 

Mag. iur. Agnes Balthasar ist Universitätsassistentin am Institut für Europarecht, Internationales Recht und Rechtsvergleichung der Universität Wien. Kontakt: agnes.balthasar@univie.ac.at

 

Mag. iur. Matthias Wach ist Projektkoordinator im Bereich Derivatprodukte bei Wallstreetdocs Ltd. und besucht derzeit den Universitätslehrgang für Informations- und Medienrecht an der Universität Wien. Kontakt: matthias@wach.at

 

Priv.-Doz. Mag. phil. Dr. iur. Alexander Balthasar ist Leiter des Instituts für Staatsorganisation und Verwaltungsreform im österreichischen Bundeskanzleramt und lehrt Verfassungsrecht und Allgemeine Staatslehre an der Karl-Franzens-Universität Graz. Kontakt: alexander.balthasar@bka.gv.at