Ueli Maurer: Aus wissenschaftlicher Sicht kann man solche Geräte absolut sicher machen. Mit der richtigen Verschlüsselungstechnologie ist es möglich, über eine unsichere Leitung, die abgehört wird, mittels eines Codes sicher zu kommunizieren. Den Code kann man so sicher machen, dass ihn auch die NSA in 100 Jahren nicht knacken kann. Da würde ich meine Hand dafür ins Feuer legen.

Nicht der Code, sondern die Implementierung auf der Hard- und Softwareplattform ist das Problem. Das ist wie beim Internetbanking, da ist die Verschlüsselung sehr sicher. Aber das nützt nichts, wenn der Rechner, den Sie benutzen nicht gleich sicher ist, also beispielsweise einen Virus hat.

Die Voraussetzung ist eine sichere End-zu-End-Verschlüsselung, für den ganzen Übertragungsweg von einem Handy zum anderen. Ausserdem sollten die elektronischen Komponenten so abgeschirmt sein, dass sie nicht abstrahlen. Ausserdem darf ein sicheres Handy keine Schwachstellen haben, wie das heute bei kommerziellen Geräten der Fall ist.

Solche, die es erlauben, von aussen auf die Daten zuzugreifen. Das kann ein unbeabsichtigtes Schlupfloch sein für einen Virus aufgrund von unsauberer Programmierung oder eine absichtlich eingebaute Sicherheitslücke, durch die es möglich ist, ein Gerät von aussen zu übernehmen und Daten abzusaugen. Auch die Hardware könnte betroffen sein. Denkbar wäre zum Beispiel ein Chip, der strahlt, oder ein Zufallsgenerator, der nur Nullen ausgibt. Solche Schwachstellen werden möglicherweise auf Geheiss der Geheimdienste eingebaut und zwar so, dass man sie nicht findet. Bei unverschlüsselten Handys wird aber bisher meistens bei den Übertragungssystemen eingegriffen.

Wenn der Bundesrat sichere Handys anschafft, muss er welche kaufen, bei denen die ganze Plattform, von der Hardware über die Software bis zur Verschlüsselung, sauber ist. Das heisst, dass er bei einem Hersteller einkaufen muss, der vertrauenswürdig ist, der kein Betriebssystem verwendet, von dem man nicht weiss, was drin ist.

Die Frage ist, ob es einen Markt gibt für Produkte, die abhörsicher sind. Wenn ich sehe, wie Firmenchefs heute ihre Geschäfte über normale Handys besprechen, dann habe ich das Gefühl, dass hier ein Markt vorhanden sein müsste, denn: Geheimdienste machen nicht nur Terrorismusbekämpfung, sie machen auch Wirtschaftsspionage. Informationssicherheit ist heutzutage ein Thema, das zwingend auf die Agenda von CEOs und Verwaltungsräten gehört.

Das Problem ist, dass nicht alle am gleichen Strick ziehen. Es funktioniert nicht wie bei der Flugsicherheit, der Verkehrssicherheit oder der Sicherheit in der Medizin, wo alle das gleiche Ziel haben, nämlich mehr Sicherheit. Bei der Informationssicherheit gibt es, wie wir jetzt lernen, gegenläufige Interessen. Die Geheimdienste wollen gar nicht, dass wir sicher kommunizieren. Deshalb gibt es auch nicht die Lösungen, die aus wissenschaftlicher Sicht möglich wären.

Nein. Die Geheimdienste haben die technischen Möglichkeiten, also setzen sie sie auch ein. Wir sind noch ganz am Anfang der Informationsgesellschaft. Momentan haben wir grösstenteils passive Attacken – es wird abgehört. Aber das ist erst der Anfang. Das ist noch nicht einmal die Spitze des Eisberges. Was wir hier sehen, sind die Vorboten eines eigentlichen «Cyberwar».

Jegliche Form von Angriffen auf Informationssysteme von Unternehmen und staatlichen Organen: vom Abhören über das Manipulieren bis zum vollständigen Lahmlegen von Infrastrukturen. Das ist ja schon passiert. Im Iran wurden durch einen Virus die Turbinen in einer Urananreicherungsanlage zerstört. Wenn irgend ein Diktator abgehört wird, finden wir das in Ordnung. Terrorbekämpfung sowieso. Bei europäischen Politikern aber wird es ungemütlich. Da werden die Schattenseiten der Informationsgesellschaft deutlich. Die Informationstechnologie hat ein enormes Veränderungspotential, sie entwickelt sich rasend schnell und wir können die Entwicklung kaum absehen.

Ich bin eher skeptisch, ob wir die laufende Entwicklung kontrollieren können. Man müsste die Art, wie heute Informationssysteme entwickelt werden, überdenken und neu aufgleisen. Das würde heissen, Software nicht, wie das bisher meist geschieht, pragmatisch entwickeln, sondern in einem professionellen Prozess von Grund auf neu konstruieren. Also zuerst denken, spezifizieren und dann programmieren. Software müsste einfacher und überprüfbarer sein. Auch eine Produktehaftpflicht für Softwareprodukte wäre nötig. Das käme allerdings einem Paradigmenwechsel gleich und den sehe ich noch nicht kommen.