Die versteckten Dilemmata der Cybersicherheit

Der Aufruf zur Stärkung der Cybersicherheit fokussiert hauptsächlich auf technische Aspekte. Man neigt dazu, ethische und rechtliche Dilemmata zu unterschätzen, mit denen sich Cybersicherheits-Praktiker*innen wie CERTs bei ihrer täglichen Arbeit konfrontiert sehen.

Das dringende Bedürfnis nach Cybersicherheit, das sich aus der zunehmenden Abhängigkeit moderner Gesellschaften von der Informationstechnologie ergibt, geht mit schwierigen ethischen Dilemmata einher. Auf gesellschaftlicher Ebene erfordert eine effektive Cybersicherheit den Austausch von Informationen; dies kann jedoch mit verfassungsmässigen Rechten wie dem Schutz der Privatsphäre und dem Datenschutz in Konflikt geraten. Auf institutioneller Ebene findet eine zunehmende Auslagerung von Cybersicherheit kritischer Infrastrukturen an Computer Emergency Response Teams (CERT) privater Unternehmen statt; es mangelt diesen jedoch an Anleitung und Rechtssicherheit, wenn z.B. Cyberabwehr Kollateralschäden verursachen kann. Auf individueller Ebene können digitale Forensiker*innen mit belastenden moralischen und rechtlichen Dilemmata konfrontiert werden, wenn z.B. unbeabsichtigt Informationen in Computern entdeckt werden, welche strafrechtliche Relevanz haben können.

Technik allein löst die Probleme nicht

Trotz solcher Probleme hat die aktuelle Forderung nach einem verstärkten Aufbau von Fachwissen in Cybersicherheit vor allem einen technischen Schwerpunkt. In den meisten nationalen Strategien zur Cybersicherheit wird der Mangel an technischen Expert*innen kritisiert; nicht-technische Fragen werden vorab im Zusammenhang mit Social-Engineering-Angriffen diskutiert. Studien des europäischen CANVAS-Konsortiums zur wertesensiblen Cybersicherheit haben einen Mangel an Forschung zu ethischen Fragen aufgezeigt – insbesondere, wenn sie die Arbeit von Spezialist*innen wie beispielsweise CERTs betreffen, die eine zentrale Rolle bei der Cyberabwehr spielen. Da diese Dilemmata Unsicherheiten auf allen Ebenen schaffen, untergraben sie eine effektive Cybersicherheit und können ungesetzliches Verhalten von Cybersicherheitsexpert*innen zur Folge haben.

Die Cybersicherheit wirft eine Fülle ethischer Fragen auf, wie z.B. «ethisches Hacking», das Zurückhalten von Informationen über so genannte «Zero-Day»-Schwachstellen in Software, die Abwägung von Zugang und Privatsphäre von Gesundheitsdaten, oder Wertekonflikte bei der Strafverfolgung, die durch Verschlüsselung entstehen. Beispielsweise kann ein CERT einen Ransomware-Angriff bekämpfen, indem es die Zahlungsserver der Kriminellen abschaltet – dies bedeutet aber, dass Personen, deren Daten bereits verschlüsselt wurden, diese nie wieder zurückerhalten würden. Auch rechtliche Fragen spielen eine Rolle, denn das Abschalten der Server bedeutet die Zerstörung oder Veränderung von Beweismaterial. Zu diesen Themen gibt es eine reichhaltige Literatur, die aber nur selten den Weg in die Praxis finden.

Fokus Schweiz

In einem Folgeprojekt im Rahmen des Nationalen Forschungsprogramms «Digitale Transformation» wird die Thematik mit Fokus auf die Schweiz vertieft. Das Projekt von Forschenden der Universitäten Lausanne und Zürich hat drei Ziele: Erstens, den Regulierungsbedarf im Bereich Cybersicherheit identifizieren, der sich aus dem Missverhältnis zwischen technologischer und gesetzgeberischer Geschwindigkeit ergibt. Zweitens, mittels Umfragen bei Betreibern kritischer Infrastrukturen und bei Expert*innen Daten erhalten, um die nationale Strategie für Cybersicherheit zu unterstützen. Drittens, einen Governance-Rahmen zu ethischen und rechtlichen Aspekten von Cybersicherheit für die Akteure in der Schweiz schaffen. Damit soll ein Beitrag dafür geleistet werden, dass ethische und rechtliche Überlegungen ein stärkeres Gewicht bei der Schaffung von Cybersicherheit erhalten.

Tipps für die Praxis

Um den praktischen Umgang mit solchen ethischen und rechtlichen Dilemmas zu verbessern, hat das oben erwähnte Ö CANVAS-Projekt verschiedene Materialien erstellt:

• Vier Briefings geben einen Überblick über die wichtigsten politischen Fragen im Zusammenhang mit ethischen und rechtlichen Fragen der Cybersicherheit auf europäischer Ebene. Thematisiert werden: Vertrauen und Vertrauenswürdigkeit, Cybersicherheit im europäischen Datenschutz, Cybersicherheit und der Schutz der Grundrechte, sowie die Herausforderung, eine kohärente Cybersicherheitspolitik innerhalb der EU aufzubauen.
• Ein Referenzcurriculum bietet Lehrmaterial zu Problemen und Lösungen der Cybersicherheit in den Bereichen Wirtschaft, Gesundheit und nationale Sicherheit. Es stellt Dozierenden Ressourcen zur Verfügung, die sie für einen umfassenden Kurs über Ethik und Cybersicherheit benötigen.
• Ein umfangreicher Online-Kurs (MOOC) bietet eine Einführung in wertesensitive Cybersicherheit. Der MOOC besteht aus 45 Videos, die kurze Vorträge, Fallpräsentationen und Interviews mit Fachleuten aus Wissenschaft und Industrie enthalten, und wird durch Online-Testinstrumente ergänzt