Gefahrenabwehr in der IT-Wolke

Wissenschaftler der Fakultät für Informatik entwickeln IT-Sicherheitssysteme der Zukunft

Hollywood ist der Zukunft stets voraus. Im Film „Stirb Langsam 4.0“ jagte Bruce Willis schon 2007 einen Superganoven, der Passworte klaut, und die Computernetzwerke der USA unter seine Kontrolle bringt. Polizei, Luftwaffe, Verkehrsampeln, Stromkraftwerke und Banken wurden infiltriert und genutzt, um den Staat zu erpressen und den einsamen Helden zwei Stunden lang über die Leinwand zu hetzen.  Happy End inklusive.

Foto: KIT

„Natürlich ist der Alltag des Informatikers nicht ganz so actionreich wie im Film“, gibt Gregor Snelting schmunzelnd zu. „Aber spannend ist unsere Arbeit trotzdem.“ Denn schon der Missbrauch eines einzelnen Computernetzes birgt genug Potential für enormen materiellen und finanziellen Schaden. Deshalb forscht Snelting an neuen Verfahren zur Sicherheit von Computersystemen. Wie alltagsrelevant dies auch außerhalb von Hollywoodillusion ist, zeigen die zahlreichen Fälle von Internetkriminalität in diesem Jahr: Der Diebstahl von 100 Millionen Kundendaten bei Sony wird den Konzern wohl rund 1,2 Milliarden Euro kosten. Über die gekaperten Twitter-Accounts beziehungsweise Homepages der Medienriesen Fox und PBS wurden Falschmeldungen landesweit verbreitet. Selbst Banken und Fabriken sind nicht sicher: Dies belegen der Verlust von 360 000 Kreditkartendatensätzen bei der Citibank und das Treiben des Stuxnet-Wurms in Siemens-Anlagen.

„Um uns vor IT-Kriminalität zu schützen, brauchen wir gänzlich neue Ansätze“, erläutert Snelting, Leiter des Instituts für Programmstrukturen und Datenorganisation am KIT. Zum Beispiel beim Schutz vor Schadsoftware: Heutzutage wird die Vertrauenswürdigkeit von Programmen über Zertifikate angezeigt. Dies entspricht etwa dem zugeschickten Postpaket mit dem Aufkleber „geprüfte Qualität“. „Aber kann man sich sicher sein, dass auf dem Postweg nicht jemand den Inhalt ausgetauscht hat und einem nicht ein Virus oder ein Wurm untergeschoben wird?“, fragt Snelting.  Als Mitinitiator des DFG-Schwerpunktes „Reliably Secure Software Systems (RS3)“ entwickelt er eine Art Röntgenapparat für Programme. „Aber wir schauen nicht nur, ob das Paket den richtigen Inhalt hat, wir durchleuchten auch die Funktion des Programms selbst und legen offen, was es tut.“ In Zukunft fragen Antivirussoftware und Firewall also nicht mehr „Wollen Sie dem Programm browser.exe den LAN-Zugriff erlauben?“. Auf der Suche nach Phishing und Trojanern heißt es dann  „Wollen Sie ihre persönliche Browserhistorie an spam.de schicken?“ oder „Wollen Sie Ihre Passwörter wirklich auf den Server in Russland hochladen?“.

Die Sicherheit des einzelnen Computers am Arbeitsplatz oder Zuhause ist aber nur ein Punkt der aktuellen Forschung. „Die hochvernetzten, kritischen Infrastrukturen in unserer modernen Gesellschaft brauchen neue Algorithmen und neue Konzepte“, erklärt Dorothea Wagner, Leiterin des Instituts für Theoretische Informatik am KIT. Beispielsweise wird Strom immer weniger aus zentralen Kraftwerken bezogen, sondern aus einem Netz an verteilten Windrädern, Solarzellen und Speichern, die je nach Wind und Wetter oft auf Minutenbasis mehr oder weniger Energie einspeisen. „Die Frage ist, wie die Steueralgorithmen ausgelegt sein müssen, wenn es keine zentrale Steuereinheit mehr gibt.“ Wie stimmen sich hundert einzelne Windräder in Holstein mit dreißig unabhängigen Solaranlagen in Franken verlässlich ab? Wer entscheidet, ab wann die Speicher angezapft werden? Und wie sichert man das ganze Netzwerk vor Ausfällen und Anschlägen? Intelligente Software kann hier das Betriebspersonal enorm unterstützen, um das Netzwerk stabil zu halten. „Im Grunde planen wir schon heute die virtualisierten Kraftwerke von morgen: zuverlässig, selbstorganisiert, funktional und einbruchsicher“, sagt Wagner, die den DFG-Schwerpunkt „Algorithm Engineering“ mit initiiert hat. „Aber natürlich lassen sich die gleichen Software-Konzepte auch auf verteilte Systeme im Straßenverkehr oder auf das Cloud Computing anwenden.“ So könnten Ampelanlagen Dank in der ganzen Stadt verteilter Sensoren sich bedarfsgerecht selbst steuern, statt mit fest getakteter Ampelphase, die Geduld der Autofahrer zu strapazieren. 

Und auch das aktuelle Thema Cloud Computing steht vor ein paar kniffligen Fragen. Zwar ist es wirtschaftlich sehr sinnvoll, sich Speicherplatz, IT-Knowhow und vor allem Rechenressourcen nur nach Bedarf in einem Rechenzentrum einzukaufen. Aber gänzlich unklar ist es bislang, wie effektiv verhindert werden kann, dass ausgelagerte, sensible Kunden- oder Entwicklungsdaten in falsche Hände gelangen, während sie in der „Wolke“ verarbeitet werden. Die Kryptologen setzen bei der Lösung dieses Problems auf neue, strukturerhaltende Verschlüsselungen. Diese erlauben es, auch auf verschlüsselten Daten Berechnungen und Programme auszuführen und so ein verschlüsseltes Ergebnis zu bekommen. Erst, wenn es sicher auf dem eigenen PC heruntergeladen wurde, wird es wieder decodiert. Leider verursacht diese Art der sogenannten homomorphen Verschlüsselung einen millionenfach höheren Rechenaufwand. Eine zentrale Forschungsstelle, die diese Probleme lösen will, ist KASTEL, das neue Kompetenzzentrum für Angewandte IT-Sicherheits-Technologien, welches in Karlsruhe entsteht.

„Wir sehen uns für diese und weitere Herausforderungen am KIT sehr gut aufgestellt“, stimmen Snelting und Wagner überein. KASTEL und insgesamt vier DFG-Schwerpunktprogramme in der Informationstechnik unterstreichen eindrucksvoll die Kompetenz der Karlsruher Informatik-Fakultät. Hinzu kommen die gemeinsamen Projekte und kurzen Wege zu den Energietechnikern, den Verkehrsexperten, den Juristen, den Wirtschaftswissenschaftlern und den Systemanalytikern. „Im Gegensatz zum einsamen Helden im Film, setzen wir in der realen Welt auf Teamarbeit.“ Happy End inklusive.