Panel statement for the debate on security: freedom vs. surveillance

I gave the following statement for the debate on the thesis of “Kriminalität ist der Preis der Freiheit. Darknet, Überwachung und Anonymität”

Sehr geehrte Damen und Herren,

Danke für die Einladung zu dieser wichtigen Debatte. Ich möchte gleich damit eröffnen, meine Hochachtung vor der österreichischen Justiz und Exekutive auszudrücken und allen Institutionen zu danken, die zum Schutz der Gesellschaft und unser aller Leben beitragen. Wir haben als Familie bereits mehrjährig in Großbritannien und den USA gelebt und selbst schätzen gelernt, dass Österreich ein sehr sicherer Staat für alle Bewohner:innen ist. Das ist der Verdienst eines guten Systems.

Und um diesen Schutz der persönlichen und öffentlichen Sicherheit geht es mir seit über 2 Jahrzehnten meiner Karriere. Diese Sicherheit hat aber viele Facetten: die Sicherheit von einzelnen Computersystemen und Netzwerken bis hin zu ganzen Plattformen ist die Basis für das Grundrecht auf Privatsphäre – Systeme, die leicht von Dritten ausgelesen oder verändert werden können, können keine Geheimnisse sichern. Sie ist auch die Basis für das Funktionieren unseres gesamten modernen Lebens. Smartphones und andere Endgeräte und die darauf laufenden Apps steuern Finanztransaktionen, industrielle Fertigungsanlagen, die Stabilität unserer kritischen Infrastruktur wie die Stromnetze sowie politische Wahlen. Wenn diese Systeme nicht gegen Angriffe sicher sind, sind unsere gesamte Gesellschaft und unser demokratisches System durch Betrug, Diebstahl, Erpressung und Falschinformation massiv gefährdet.

Die Implikation ist aber, dass Sicherheit nicht binär ist, sondern eine Abwägung verschiedener Sicherheitsinteressen gegeneinander braucht. Das gilt sowohl für den kürzlich beschlossenen Bundestrojaner als auch für den Einbau von Filtermodulen in Chat-Apps – oft kurz als Chat Control Vorhaben bezeichnet – oder die verschiedenen Varianten der Vorratsdatenspeicherung. Beginnen wir mit der Betrachtung der Implementierung von Bundestrojanern:

Ich durfte 2 Jahre lang die Android Platform Security Abteilung bei Google leiten und spreche daher primär über Android, aber die Aussagen treffen sehr ähnlich auf iOS zu. Durch das prinzipielle Design von modernen Smartphone-Betriebssystemen können installierte Apps nicht direkt auf die Daten andere Apps zugreifen. Dieses Sandboxing ist über mehrere Sicherheitsebenen von App-APIs über den Kernel bis hin zu Hardware Secure Elements gesichert. Damit nun z.B. die gespeicherten Chatprotokolle aus einer bestimmten App ohne deren Mithilfe ausgelesen werden können, müssen viele dieser Sicherheitsebenen gebrochen werden – daran führt technisch kein Weg vorbei. Entweder es gibt bewusst offen gelassene Hintertüren – das ist aber nach aktuellem Stand bei keinem Gerätehersteller in der EU oder den USA realistisch – oder es werden bis dato unbekannte Sicherheitslücken ausgenutzt, um in die Geräte einzubrechen. In beiden Fällen sind aber alle Geräte aller Bürger:innen zu jedem Zeitpunkt unsicherer als wenn diese Lücken geschlossen würden. Dass nur bestimmte Geheimdienste oder Polizeiorganisationen diese Lücken für Angriffe nützen könnten, ist eine legistische Illusion. Sicherheitslücken sind für alle Angreifer offen und werden eher früher als später in den entsprechenden Netzwerken gehandelt und von anderen Staaten wie auch Kriminellen missbraucht werden.

Sehr ähnlich ist es bei Chat Control: um ein Scanning von Medieninhalten innerhalb der einzelnen Apps umzusetzen, müssen geheim zu haltende, hochkomplexe Filtermodule in alle diese Apps eingebaut oder zumindest von ihnen heraus aufgerufen werden. Das erhöht die Komplexität und damit das Fehler- und Angriffspotenzial vor allem bei komplexen Mediencodecs – Beispiele für Angriffe durch Codecfehler gibt es zuhauf – und verunmöglicht Open Source Messenger Apps mit transparenter Kontrolle durch Sicherheitsforscher. Konkret hat die Signal Foundation – aus gutem technischen Grund – schon angekündigt, sich aus dem EU-Raum zurückzuziehen, anstatt solche Filtermodule zum Schaden Ihrer Benutzerschaft zu implementieren. Wenn die große Masse der Bevölkerung dann keinen guten sicheren Messenger mehr zur Verfügung hat, ist genau diese von der globalen Überwachung erfasst. Wirklich organisierte Kriminalität bzw. absichtliche Täter werden es sehr leicht haben, eigene sicherer Kommunikationsstrukturen weiterhin zu verwenden. Gute Kryptographie ist inzwischen technisches Allgemeinwissen und kann nicht mehr praktikabel verboten oder reguliert werden. Das wäre eine weitere legistische Illusion.

Dasselbe zeigt sich bei Vorratsdatenspeicherung auf Provider-Ebene: ausgeleitete Datenströme oder integrierte Logging-Lösungen erhöhen Komplexität und Angreifbarkeit und haben bereits in der Vergangenheit die Sicherheit dieser Infrastruktur gebrochen und besitzen die Tendenz, geleakt bzw. später zu anderen Zwecken ausgewertet zu werden.

Es kommen noch weitere wesentliche technische Sicherheitsfragen oben drauf, die bei allen diesen Varianten zuschlagen: Wer ist der Anbieter dieser Module? Wo werden sie betrieben? Über welche System laufen die Datenströme, von wo kommen die Filter bzw. Trainingsdaten für die Filtermodelle? Es ist sehr unwahrscheinlich, dass österreichische Sicherheitsbehörden diese selbst entwickeln könnten oder aus budgetären Gründen entwickeln würden. D.h. sie müssen von höchstwahrscheinlich ausländischen Firmen zugekauft werden. Ist dann garantiert, dass bei einer speziellen Ermittlungsaktion die sensiblen Daten nicht auch durch ausländische Dienste mitgelesen werden können? Wer kann das kontrollieren, wenn die Implementierungen als Geschäftsgeheimnisse geführt werden? Alle diese schwierig zu beantwortenden Fragen machen es dann auch unsicher, ob so gesammelte Beweise in einem Gerichtsverfahren zulässig wären. Das mag für geheimdienstliche Ermittlungen u.U. weniger relevant sein, aber bei Polizeiarbeit ist diese nachweisbare Beweiskette essenziell und durch die zunehmende technische Komplexität und Abhängigkeit von nur teilweise vertrauenswürdigen Anbietern nur schwer vorstellbar.

Die Implikation ist, dass die Frage nach der Überwachung der Überwacher praktisch unbeantwortet ist.

Zum Abschluss möchte ich zurück zur These der Debatte kommen. Ist das Tolerieren von Kriminalität der Preis von Freiheit? Ich sehe das nicht als weder-noch und die Gegenüberstellung ist zu naiv. Um ein einfaches Bild zu gebrauchen: Können wir verhindern, dass Personen mit Hämmern erschlagen werden? Wir können versuchen, alle Hämmer zu verbieten und werden vielleicht eine Reduktion der Totschläge erreichen, aber auch keine Zimmerleute mehr haben. Organisierte Kriminelle nehmen dann eben einen Zaunpfahl statt eines Hammers. Und nächstes Jahr diskutieren wir über ein Verbot von Zäunen. Hämmer sowie Kryptographie sind Werkzeuge, die primär für legale und nützliche Aufgaben eingesetzt werden, aber ja, auch von Kriminellen. Vollständige Sicherheit könnte es nur unter vollständigem Verzicht auf jedwede Freiheit geben, aber ich glaube nicht, dass wir solche totalitären Regime haben wollen.

Denn Regierungen und Gesetze ändern sich viel schneller als technische Standards und Infrastrukturen. Einmal aufgebaute Überwachungsinstrumente werden praktisch nie wieder abgebaut und sind für zukünftigen Missbrauch anfällig. Wir sehen aktuell in anderen Ländern, wie schnell sich rein gesetzliche Beschränkungen als unwirksam herausstellen – und haben durchaus auch in unseren Regionen geschichtliche Beispiele dafür. D.h. für eine gute Sicherheit der gesamten Gesellschaft brauchen wir unbedingt technische und nicht nur rechtliche Beschränkungen gegen Angriffe auf unsere Systeme – und das bedeutet primär, die mühsam aufgebauten Cybersecurity-Mechanismen nicht zugunsten einiger weniger Ermittlungsfälle kaputt zu machen.