Dass die jüngsten Phishing-Attacken auf Politiker, Beamte, Journalisten und andere Akteure in der Hauptstadtblase teilweise erfolgreich waren, mag man noch als selbstverschuldet abtun. Denn auf diese Phishingversuche hätte niemand reinfallen müssen. Ein Problem aber bleibt, und das adressieren auch die jetzt ins Feld geführten zahlreichen „Lösungen“ nicht.

So hat unter anderem die als betroffen geltende Bundestagspräsidentin Julia Klöckner (CDU) den Abgeordneten inzwischen dringend den Messenger Wire empfohlen, der auf den Dienstgeräten des Bundestages als Alternative zur Verfügung steht.

Wire – geschlossen und föderiert

Tatsächlich ist eine angepasste Version des Messengers namens „Wire Bund“ vom Bundesamt für Sicherheit in der Informationstechnik (BSI) geprüft und für ausreichend sicher befunden worden, um die unterste der Geheimhaltungsstufen der Bundesrepublik einzuhalten. Wire Bund ist bis zur Stufe Verschlusssache – Nur für den Dienstgebrauch (VS-NfD) zugelassen.

Wire Bund folgt dabei dem Prinzip einer geschlossenen Benutzergruppe: Nur zugelassene Geräte können darin registriert werden. Verschiedene Instanzen können sich föderieren, um etwa Kommunikation zwischen Bundestag und BSI zu erlauben.

Auch andere Services werden gerade als irgendwie besser angepriesen: Das etwas ins Vergessen geratene Threema rückt wieder in den Fokus, Matrix und Element sind bei der Bundeswehr als „BWMessenger“ im Einsatz und der „Bundesmessenger“ als Weiterentwicklung daraus könnte ebenfalls auf mehr Interesse stoßen.

Doch Klöckners Brief zeigt vor allem, was außerhalb des Berliner Politikbetriebs vielleicht schwer verständlich ist: Die Präsidentin und die Bundestags-Admins haben nur Einfluss auf die IT der Bundestagsverwaltung („Parlakom”) und ihrer Mitarbeiter, aber nicht der Abgeordneten und Fraktionen.

Darüber hinaus müssen Systeme die Logik der Bundesverwaltung und ihrer Sicherheitsbedürfnisse abbilden: Sichere Kommunikation erfolgt in gekapselten Umgebungen – was über „VS-NfD“ ist, muss in separaten Systemen verhandelt werden. Signal etwa ist etwa auf Dienstgeräten, die dem „Sichere Inter-Netzwerk Architektur“-Standard (SINA) folgen, gar nicht installierbar, da nicht geprüft.

Für die Sicherheitsstandards ist die Kommission des Ältestenrates für Informationstechnologien und Digitalisierung (IuD-Kommission) des Deutschen Bundestages zuständig. Sie betont, es sei „zu berücksichtigen, dass die IT-Landschaft des Deutschen Bundestages ein Verbundsystem darstellt”. Es gibt Dienste für Abgeordnete, parlamentarische Gremien und die Bundestagsverwaltung, die Fraktionen betreiben aber „aufgrund ihrer eigenständigen Stellung ihre eigene Informationstechnik“.

Abgeordnete und Fraktionen sind frei

Der Bundestag ist ein Parlament frei gewählter Abgeordneter. Und diese grundgesetzlich verbriefte Freiheit heißt auch: Jeder Abgeordnete hat das Recht, eigene IT zu nutzen. Die IT der Fraktionen ist ebenfalls unabhängig, wenn auch – nach einigen schlechten Erfahrungen – oft an die Hauptkonzepte des Hauses angelehnt.

Für alle Menschen, die vor allem mit der IT-Organisationsbrille auf den Bundestag schauen, zeigt sich hier ein wesentlicher Teil des Problems: Die Menschen sollen innerhalb der Umgebung „Bundestag“ mit unterschiedlichen Arbeitsmitteln nach unterschiedlichen Standards interoperabel arbeiten können.

Die Abgeordneten genießen einen besonders hohen Schutz – auch vor der Exekutive. Während manche vielleicht kein Problem damit hätten, wenn der Verfassungsschutz zur Gefahrenabwehr ihre Inbox scannt oder das BSI eine Firewall wirksam konfiguriert, wäre das für andere womöglich inakzeptabel – denn das würde Kontrolle des Parlaments ermöglichen, das seinerseits eigentlich die Exekutive, also die Behörden, kontrollieren soll.

Über die Organisationsgrenzen hinweg

Ein inhaltlich harmloses Beispiel hilft, das zu illustrieren: die Tagesordnung des Bundestages. Sie muss zwischen den Fraktionen abgestimmt werden, üblicherweise von den Parlamentarischen Geschäftsführern. Die müssen sich mit Fraktionsmitarbeitern und Abgeordneten rückkoppeln. Und weil Politik nicht nur im Bundestag stattfindet, kommen weitere Akteure ins Spiel. Soll ein Minister sprechen, muss dessen Haus einbezogen werden. Das ist aus Bundestagssicht organisationsfremd. Minister sind oft, aber nicht immer zugleich Abgeordnete.

Der vielleicht schwierigste Teil: die Parteien und ihre Apparate – mit Parteizentrale, Bundesgeschäftsführer, Mitarbeitern. Die Mitglieder des Präsidiums wiederum sind vielleicht Ministerpräsidenten, Bundesminister, Bundestagspräsidentin oder Fraktionsvorsitzende. Dann müssen vielleicht noch Arbeitnehmerflügel oder die Mittelstandsgruppe konsultiert werden.

Eine Partei ist keine staatliche Organisation, sondern ein privater Verein – und darf auch nicht auf Services von Bundesbehörden zurückgreifen. Für ihre Parteiarbeit wiederum dürfen sie, denn sonst wäre das eine Nutzung von Staatsmitteln zu dafür nicht vorgesehenen Zwecken, ihre Dienstgeräte und deren Software aus staatlichen Funktionen nicht nutzen.

Überdies haben Politiker oft mehrere Rollen: Friedrich Merz ist Bundeskanzler, Parteivorsitzender, Abgeordneter und kooptiertes Mitglied im Vorstand des CDU-Kreisverbandes Hochsauerland. Er muss als Kanzler hochsicher kommunizieren können. Als Abgeordneter ist er frei, die Nutzung der Parlaments-IT und Fraktionsdienste wie etwa geteilter Laufwerke unterliegt den jeweiligen Regeln für diese. Als Parteivorsitzender und Vorstandsmitglied im Heimatkreisverband ist er formal normaler Bürger.

All das sind Gründe, warum eine einfache „Lösung“ – „der Admin“ lässt einen „sicheren Messenger“ zu und kontrolliert die Infrastruktur – an der Vielzahl von Organisationskontexten scheitert. Weshalb in der Realität oft das private Endgerät das Kommunikationsmittel der Wahl ist. Und da in der Politik oft schnell und über Grenzen hinweg kommuniziert werden muss, gibt es dazu auch kaum eine verfügbare, skalierende Alternative.

Zwischen peinlicher Betroffenheit und Offenheit

Es sieht also danach aus, dass man die Kommunikationswege von Politikern nicht vollständig absichern können wird. Die nächste Phishing-Welle wird kommen – und sie könnte noch ausgefeilter sein. Es kann jeden treffen. Weshalb wir weiter über Absicherungen nachdenken müssen. Dazu gehört auch die Option, dass Signal Konten deaktivieren können sollte, wenn der ursprüngliche Eigentümer Anzeichen für einen Kontrollverlust hat. Dazu müsste der legitime Nutzer den Betreibern des Messengers einen Hinweis geben können. Signal seinerseits müsste dessen Inhaberschaft des Kontos prüfen können – zumindest als optionales Angebot beim Einrichten eines Kontos sollte das vorhanden sein.

Dass ein Messenger wie Signal nicht mehr als Nerdkram gesehen wird, der von ein paar Whistleblowern genutzt wird, sondern als Messenger bis in die Politik gelangt ist, ist eigentlich positiv. Dass die Nutzer dann allerdings auch grob verstehen sollten, was sie tun, dürfte nach den Ereignissen der vergangenen Wochen auch vielen bislang Unbedarften klarer geworden sein. Und etwas Funkdisziplin, also das Nachdenken darüber, was wann mit wem geteilt wird, ist allgemein ratsam.

Viele Namen von Betroffenen sind bislang nicht öffentlich, die wenigsten bekennen sich öffentlich dazu, dass sie auf die Phishing-Attacke hereingefallen sind. Manche werden nur dadurch wahrgenommen, dass Konten für andere Nutzer überraschenderweise aus Chatgruppen entfernt werden oder ganz offline darauf hingewiesen wird, dass der Account nun von woanders weiterbetrieben wird.

Der frühere BND-Vize Arndt Freytag von Loringhoven etwa hat es klüger gemacht und verdient dafür Anerkennung: Er hat beschlossen, dass die Peinlichkeit geringer zu gewichten ist als die Warnung an Betroffene und sich mehrfach öffentlich dazu verhalten. Denn das wiederum ist aus der normalen IT-Welt ein gutes Learning für die Politik: Data Breach Notifications sind wichtig für die indirekt Mitbetroffenen.

(vbr)