"IT muss so entwickelt werden, dass sie idiotensicher ist"

Herr Gaycken, alles spricht von Cloud Computing, Bring your own Device und Social Media. Wie beurteilen Sie diese Mega-Trends?

Diese Entwicklungen sind gefährlich, vor allem was Sicherheit betrifft. Alle Mega- Trends in der Informatik gehen in die falsche Richtung. Dazu zählen auch Themen wie Smartification, das Internet der Dinge und Industrie 4.0. Heute ist überall IT drin, aber die Sicherheit ist zweitrangig. Und natürlich muss alles ständig online und vernetzt sein. Das Problem dabei ist, dass so viele kritische Prozesse plötzlich offen zugänglich werden. Früher machte man genau das Gegenteil: Man ging nicht ins Web, und das sehr bewusst.

Wird Sicherheit heute systematisch vernachlässigt?

Sicherheit ist nicht für jedes Unternehmen gleich relevant. Aber sehen Sie, wenn alte Denkmuster auf das Internet treffen, wird es heikel. Die Entscheidungsträger in Unter- nehmen stellen heute alles Mögliche ins Web ohne ihre Sicherheitskonzepte zu ändern. Wichtige Industrieanlagen sind ein gutes Beispiel. Diese wurden zwar oft sauber entwickelt und sind nicht per se unsicher. Nur waren sie eben jahrelang offline. Jetzt aber müssen sie plötzlich abgesichert werden

Wie sollen Unternehmen mit solchen Veränderungen umgehen?

Unternehmen müssen ihre Informatik unbedingt von den kritischen Prozessen abkoppeln. Eine Analyse der Gefahren ist dabei zentral. Jeder CIO sollte sich folgende Fragen stellen: Welche Prozesse sind für uns kritisch? Welche Daten sind besonders schützenswert? Und für welche Angreifer ist unser Unternehmen interessant? Je nach Kategorie der potenziellen Attacken braucht es andere Sicherheitsvorkehrungen. Und, wichtig: Skepsis gegenüber grossen IT-Trends kann nie schaden.

Ist IT heute generell unsicherer als früher?

So ein katastrophales Versagen von Technik und Ingenieurwissen hat es in der Geschichte der Menschheit noch nie gegeben. Wir alle haben uns abhängig gemacht von Strukturen, die viel zu leicht angreifbar sind.

Wie muss man IT denn bauen, damit sie sicher ist?

Sichere IT setzt auf verifizierte Micro-Kernel und verzichtet auf Turing-Sprachen und Von-Neumann-Architekturen. Generell sollte die Komplexität auf ein Minimum reduziert und die Strukturen für die Supply Chain und Halbleiter-Produktion überdacht werden. IT-Entscheider müssen heute genau überlegen, was sie vernetzen, teilen und informatisieren wollen. Und IT-Sicherheitsanbieter müssen einen Fokus auf Hochsicherheitsprodukte legen. Viele gegenwärtige Konzepte sind für die aktuelle Bedrohungslage völlig ungeeignet.

Gibt es denn keinen Markt für Hochsicherheitsprodukte?

Den gibt es leider noch nicht. Unternehmen können zwar problemlos Attacken von «Skriptkiddies», die planlos im Netz rumtollen, abwehren. Greift aber ein Staat oder eine kriminelle Organisation an, wird es schwierig. IT-Entscheider müssen bei den Anbietern anklopfen und genau solche Lösungen fordern. Nur so kann ein Markt dafür entstehen.

Oft fehlt es aber auch einfach nur an Budgets für IT-Sicherheit.

Das ist vor allem ein Problem bei KMUs. Hier ist der Staat gefordert. Er muss sich fragen, was ihm seine Volkswirtschaft und die Unternehmen wert sind. Wieso entwickeln Staaten nicht selbst Sicherheitsprodukte? Das geschieht heute fast nirgends. Und falls doch, sind die Lösungen standardisiert und kaum auf die Unternehmen zugeschnitten.

Für Unternehmen scheint es heute ja kaum noch Alternativen zu den grossen Anbietern von IT-Sicherheit zu geben. Täuscht das?

Unternehmen können sich von dieser Abhängigkeit lösen, aber das dauert. Die Standardlösungen der kommerziellen Anbieter sind heute sehr verwundbar. Für viele Unternehmen wäre es sinnvoll, auf diese zu verzichten und stattdessen auf optimierte Speziallösungen zu setzen.

Heterogene IT-Landschaften als Lösung für das Sicherheitsproblem?

Die Angreifer würden solche auf jeden Fall nicht gerne sehen. Es gibt aber wichtigere Kriterien als Heterogenität. Viele Ideen aus dem Clean-Slate-Bereich beruhen zum Beispiel nicht auf Heterogenität, liefern aber trotzdem eine verifizierbare Sicherheit.

Und Verschlüsselung?

Verschlüsselung ist ein endloses Katz-und-Maus-Spiel. Sie bietet einen guten Grundschutz – aber nur, wenn sie richtig implementiert wird.

Und dann ist da noch der Mensch, das wohl grösste Sicherheitsrisiko überhaupt. Wie bekommt man dieses Risiko in den Griff?

Der Mensch wird immer ein Problem bleiben. Ihn bezüglich Sicherheit in den Griff zu bekommen, ist nicht möglich. Trotzdem ist es eine falsche Haltung zu sagen, der Mensch sei schuld, wenn etwas schiefgeht. Wenn der Mensch nicht in der Lage ist, Technik so zu bedienen, dass sie sicher ist, dann liegt das eben nicht am Menschen, sondern an der Technik. IT-Sicherheit muss so entwickelt werden, dass sie idiotensicher ist.