Monday, November 10, 2014 - 21:58

Der BND und die aufgekauften Exploits

Aktuell kursieren Meldungen, dass der BND 0-Day Exploits aufkauft bzw. aufkaufen will, um sie für die geheimdienstliche Informationsbeschaffung zu nutzen. Das machen andere auch. Auch bei den meisten von denen ist das eine sehr dumme Idee.

Aus grundsätzlicher Sicht des BND macht das durchaus gesteigerten Sinn, denn mit derartigen Exploits kommt man rein wo man sonst eben nicht rein kommt. Und genau das ist die Aufgabe des BND. Informationen beschaffen. Im Gesamtkontext ist das aber eine äußerst gefährliche Sichtweise, denn Deutschland ist nicht irgendeine stereotypische tropische Inselrepublik, die Tabak und Tee anbaut.

Wir sind ein primäres Ziel von Wirtschaftsspionage. Und ein nicht unerheblicher Anteil sind computergestützt Angriffe über das Netz. Unter anderem eben mit derartigen Exploits. Entsprechend stellt sich hier ganz dringend die Frage nach dem Kollateralschaden, denn die Exploits, die der BND aufkauft, sind eben auch für andere verfügbar.

Das sind keine hoch geheimen Logen sondern ein Schwarzmarkt wie für Drogen. Die Verkäufer stehen nur nicht an der Ecke beim Kino sondern sitzen im Netz.

Anders als bei klassischer geheimdienstlicher Spionage ist man hier mit denselben Werkzeugen eben auch das Ziel. Dasselbe gammelige Schloss das der BND mit einem Exploit in Russland oder in den USA aufbrechen kann hängt hier massenhaft vor der Tür und wird eben vom FSB oder der NSA begutachtet. Mit exakt demselben Exploit, der dann mit einer gewissen Sicherheit aus derselben Quelle kommt.

Denn auch hier gilt die gute alte Regel des Waffenhandels:

Warum eine Seite bewaffnen, wenn du auch an beide verkaufen kannst?

Ich halte es durchaus für richtig grundsätzlich aufzukaufen. Dann dürfte aber in fast allen Fällen vollkommen klar sein, dass der Kollateralschaden den Nutzen gewaltig übersteigt und es entsprechend dringend geboten ist die Gurkentruppe vom BSI darüber in Kenntnis zu setzen, damit das Loch möglichst zeitnah gestopft werden kann.

Sicherheit ist ein Gesamtkonzept. Was nützt mir eine vereinfachte Informationsbeschaffung, wenn ich dadurch selbst ein gewaltiges Leck auf der anderen Seite vom Kahn bekomme? Für ein Land wie Deutschland ist das eine äußerst ungünstige Asymmetrie, denn das was wir mit der Gieskanne auf der anderen Seite verlieren ist idR. immer wertvoller als die Informationen die wir auf der anderen Seite gewinnen können.

Die Frage ob der BND eine Arschlochtruppe ist der man das erlauben sollte ist vollkommen belanglos. Es ist für uns eine einfache Kosten/Nutzen Rechnung und die Zahl unter dem Strich gibt eben eine recht eindeutige Richtung vor.

Natürlich sollte der BND gefährliche Exploits aufkaufen. Genauso wie jeder andere 3 Buchstaben Verein, der hier darüber stolpert. Diese sollten dann aber fast immer dorthin fließen wo sie gestopft werden können. Alles andere ist nicht in unserem Interesse.

Add new comment

This form is protected by Google Recaptcha. By clicking here you agree to include Google Recaptcha for this session. The page will reload and the form will become avaiable.