Vertrauen in Digitalisierung – mit Sicherheit!

Cybersecurity

Trotz andauernder Euphorie bezüglich der Digitalisierung dürfen die Fehler der Vergangenheit nicht wiederholt werden. Sicherheit ist, wie auch schon in der Maslow’schen Bedürfnispyramide nachzusehen, endlich als grundlegendes Bedürfnis als Basis jeder (Neu)-Entwicklung und Änderung zu etablieren. Die gesellschaftliche Akzeptanz für digitalisierte Prozesse und Virtualisierung der Realität basiert auf Vertrauen – dieses Vertrauen kann nur durch glaubwürdige Sicherheit geschaffen werden.

Umberto Annino, Evangelist für Informationssicherheit und Mitglied des Cybersecurity-Beirats der SATW (Source: fagagnini)

Obwohl Cybersecurity in Umfragen, Berichten und Prognosen in vielen Branchen einen Spitzenplatz einnimmt, wird damit auch viel Verwirrung gestiftet. Was genau ist dieses "cyber" – Antworten finden sich in der Begriffsdefinition der Kybernetik – der Cyberspace ist damit der virtuelle Raum, "Cyber" die Abkürzung des Begriffs "Kybernetik". Allerdings wird man auf der deutschen Wikipedia-Seite bei Eingabe des Begriffs zu "Informationssicherheit" weitergeleitet, in der englischen Variante zum Artikel "Computer Security". Im Wesentlichen also nichts wirklich Neues – bedenkt man, dass sowohl Computer und auch das Internet seit gut 50 Jahren existieren.

Die Fehler der Vergangenheit bestehen vor allem darin, das Thema weitgehend zu ignorieren oder durch implizite Annahmen als gegeben vorauszusetzen. Sicherheit – ob Cybersecurity, Information Security oder IT-Security – ist keine schwarze Magie, sondern kann und muss spezifiziert, konzipiert, geplant und vor allem finanziert werden. Dabei ist Sicherheit vereinfacht gesagt die Absenz von Risiko – und Risiko etwas eher Abstraktes. Was es entsprechend nicht einfacher macht, das Thema der betroffenen Gesellschaft näherzubringen.

Sicherheit muss "by design" sein

Das zeigt sich an der Diskussion zur E-Voting-Sicherheit – eines der prägenden Themen des vergangenen Jahres. Meine Meinung dazu ist: In einer Demokratie sollen die Bürger entscheiden, ob sie E-Voting ihr Vertrauen aussprechen und es zulassen wollen. Das bedingt allerdings, dass die Stimmbürger über die Risiken transparent und sachlich informiert werden und ihnen kein "Schlangenöl" verkauft wird.

Sicherheit ist nicht etwas, das am Ende der Entwicklung auf ein Produkt oder einen Prozess "dazu gemacht" wird – Sicherheit ist eine inhärente Eigenschaft, die "by design" als Anforderung spezifiziert und in das Produkt oder den Prozess konzipiert wird. Das kommt freilich nicht kostenlos daher – Sicherheit kostet. Keine Sicherheit kostet möglicherweise mehr – Risiken haben leider die Eigenschaft, sich nicht immer im Voraus anzukündigen. Ob man sicher ist, merkt man entsprechend meist erst dann, wenn das Risikoereignis sich manifestiert.

Ich freue mich auf die Zukunft – auch wissend, dass mir die Arbeit zur Förderung der Cybersecurity für meine Kunden und die Gesellschaft in voraussehbarer Zeit nicht ausgehen wird. Mit der zunehmenden "Smartisierung" aller möglichen Gerätschaften (Stichwort IoT) und der zunehmenden Unterstützung von Entscheidungsprozessen durch maschinelles Lernen und "künstlicher Intelligenz" verschwimmt die klare Abgrenzbarkeit von virtueller und realer Welt. Zur Vermeidung einer Dystopie haben wir als Informatiker, Konsumenten und Mitglieder der Gesellschaft die Möglichkeit, Sicherheit zu machen und zu bekommen – sofern wir sie explizit verstehen und einfordern!

Digitales Vertrauen bekommt man nicht – es muss verdient werden. Mit Sicherheit!

Für einen unterhaltsamen Ausblick, welche Security-Themen uns in 2020 erwarten, empfehle ich diesen Vortrag "Security Nightmares 0x14: Was Sie schon immer nicht über darüber wissen wollten wer Ihre Geräte wirklich kontrolliert."