Das Wichtigste auf einen Blick

• Verschlüsselung schützt nicht vor kompromittierten Geräten

• Metadaten werden für Angreifer immer wertvoller

• Den meisten Organisationen fehlt es an Kommunikationssouveränität

• Die Krisenbewältigung hängt oft von den Instrumenten der Verbraucher ab

• Die Planung der Umstellung auf Quantencomputer muss jetzt beginnen

Mit freundlicher Genehmigung von KBI Media erneut veröffentlicht.

Karissa Breen: Wenn Mitarbeiter Sicherheitsmaßnahmen umgehen und Angreifer die Verschlüsselung nicht knacken müssen, befinden sich Unternehmen dann bereits im Nachteil? Ihre Untersuchungen zeigen, dass das Vertrauen in Messaging-Apps für Privatanwender sehr hoch ist, was darauf hindeutet, dass das Verständnis dafür, wovor Verschlüsselung eigentlich schützt, deutlich geringer ist. Überschätzen Unternehmen, wie sicher diese Plattformen tatsächlich sind?

Christine Gadsby: Auf jeden Fall. Das war eines der schockierendsten Details in diesem Bericht. 88 Prozent der Sicherheitsverantwortlichen geben an, Vertrauen in die Sicherheit ihrer Messaging-Apps zu haben. Das beruht jedoch auf einer grundlegenden Fehleinschätzung der Funktionsweise von Verschlüsselung, denn Verschlüsselung schützt zwar Daten während der Übertragung, bietet aber keinen Schutz vor Phishing, der Übernahme von Konten über diese Apps, kompromittierten Geräten oder dem Sammeln von Metadaten – all das beobachten wir derzeit.

Dies hat zu neuen Warnungen von Behörden in den USA, Großbritannien, Europa und nun auch Australien geführt, in denen ausdrücklich von staatlich unterstützten Angriffen auf Signal- und WhatsApp-Konten ihrer Regierungsvertreter und Journalisten die Rede ist.

Das sieht man mittlerweile fast täglich in den Nachrichten. Genau diese Angriffsvektoren nutzen Angreifer aus Nationalstaaten aktiv aus. Stellen Sie sich einen Geldtransporter vor: Sie haben eine Nachricht – das ist der Inhalt des Geldtransporters, zum Beispiel von einer Bank. Der Geldtransporter schützt diese Nachricht, aber man kann trotzdem sehen, wer der Fahrer ist. Man kann das Fahrzeug weiterhin verfolgen, während es die Straße entlangfährt. Man weiß immer noch, dass es jedes Mal um neun Uhr morgens zum Frühstück an genau diesem einen Ort auftaucht. Angreifer beobachten das sehr genau, und das ist der neue Angriffsvektor, auf den diese Nationalstaaten es abgesehen haben.

Es gibt aktuelle Artikel wie den von heute Morgen über das Pentagon und US-Soldaten, die ins Visier genommen wurden. Und Australien hat erst vor ein paar Tagen bekannt gegeben, dass Mitarbeiter über WhatsApp von einem ausländischen staatlichen Akteur gehackt wurden. So etwas kommt mittlerweile täglich und regelmäßig vor. Dies hat zu neuen Warnmeldungen von Behörden in den USA, Großbritannien, Europa und nun auch Australien geführt, in denen ausdrücklich von staatlich unterstützten Angriffen auf Signal- und WhatsApp-Konten ihrer Regierungsbeamten und Journalisten die Rede ist. Wir überschätzen, wie sicher diese Plattformen sind. Die Angriffsfläche hat sich tatsächlich von den Apps selbst auf das Netzwerk verlagert. Genau darüber führen wir die schwierigen Gespräche nicht.

KB: Glauben Sie, dass seit unserem Gespräch vor einigen Monaten bis heute ein besseres Verständnis dafür entstanden ist, welche potenziellen Fallstricke es gibt und wie hoch das damit verbundene Risiko ist?

CG: Ja, das gibt es. In der Sicherheitsbranche brauchen wir lange, um unsere Denkweise zu ändern. Wir sind wie ein Wassergraben, der einfach nur da draußen schwimmt. Wenn wir als Sicherheitsexperten Dinge hören und verarbeiten, beginnen wir, nach Abhilfemaßnahmen zu suchen. Die Denkweise ändert sich. Wir stellen fest, dass diesem Thema mehr Aufmerksamkeit geschenkt wird, und die Einstellung zu den Gesprächen, die wir führen, wandelt sich. Ich gebe Ihnen ein Beispiel. Wir – und Sicherheitsfachleute ebenso – lieben WhatsApp und Signal – wir nutzen sie für verschiedene Gespräche. Ich unterhalte mich über diese Apps mit meinen Kindern, weil sie praktisch sind. Wir sagen nicht, dass dies keine geeigneten Apps für jegliche Art von Nachrichtenverkehr sind. Was wir sagen, ist, dass manche Nachrichten nicht für diese Apps geeignet sind – nämlich jene, die auf einer anderen Ebene gesichert werden müssen.

KB: Wenn du deiner Tochter sagst: „Hey, ich hole dich um diese Uhrzeit bei X ab“, ist das in Ordnung. Aber wie bringt man die Leute dazu, diesen Kontextwechsel zu vollziehen – „Ich wechsle jetzt zu einem sensibleren Gespräch“ –, wenn wir doch gerade mitten in einem Gespräch stecken? Vor allem seit COVID ist die Grenze zwischen einem lockeren Plausch und geschäftlichen Themen völlig verschwommen. Ist es schwierig zu sagen: „Jetzt muss ich auf eine andere Plattform wechseln, um dieses Gespräch fortzusetzen?“

CG: Hier hat die Bedrohungsmodellierung in einem Unternehmen kontextuell noch nicht den Schritt über die Unternehmensgrenzen hinaus geschafft – sie hat das Gebäude noch nicht verlassen und ist noch nicht auf dem Mobiltelefon angekommen. Unternehmen müssen das mobile Gerät und alle Vorgänge, die darauf stattfinden, als einen Endpunkt in seiner Gesamtheit betrachten, den sie verwalten müssen. Es geht nicht nur um die Frage: „Können wir unsere eigenen Geräte mitbringen und werden wir Richtlinien festlegen, um sicherzustellen, dass das Betriebssystem auf dem neuesten Stand ist?“ Es muss weit darüber hinausgehen.

Wenn wir über dieses Verhalten sprechen, müssen wir einen Schritt zurücktreten und fragen, welche Richtlinien Unternehmen und Regierungen haben, die festlegen: „Diese Gespräche dürfen hier geführt werden, dort hingegen nicht.“ Genau bei diesem Verhalten beobachten wir nun allmählich eine Veränderung.

Es sind zwar nur kleine Schritte, aber ich habe mich intensiv damit beschäftigt, welche Richtlinien Regierungen und stark regulierte Organisationen zur Steuerung ihrer Mitarbeiter festlegen sollten – dies sind die Arten von Gesprächen, die nach Feierabend über kostenlose Messaging-Apps geführt werden sollten, und dies sind die Arten von Gesprächen, bei denen wir sicherstellen müssen, dass die Integrität der Geräte überprüft, die Identität authentifiziert und die Verschlüsselungsschlüssel in unserem Rechtsraum aufbewahrt werden. Das bezeichnen wir als „Plattformzweck“ – die Plattform muss speziell auf die Sensibilität der jeweiligen Arbeitsanforderungen zugeschnitten sein. Wir beobachten einen Wandel im Verständnis der Regierungen: Sie erkennen zunehmend, dass sie diese Richtlinien aktiv vorantreiben müssen, anstatt die Angelegenheit einfach offen zu lassen.

KB: Von welchen politischen Maßnahmen sprechen Sie, wenn Sie mit Regierungsvertretern sprechen?

CG: Wir fangen wirklich ganz von vorne an – wir legen Richtlinien für solche Dinge fest. Man muss die Gespräche, die man führt, analysieren. Ich sage jedem, der es hören will, dasselbe: Das Niveau Ihrer Gespräche wird nicht dasselbe sein wie das anderer Unternehmen oder Regierungen. Selbst wenn Sie einen Hersteller von Dachschindeln leiten, führen Sie über ein Gerät nicht dieselben Gespräche wie die Regierung oder eine andere Behörde. Diese müssen separat modelliert werden.

Der erste Schritt besteht darin, zu verstehen, worin Ihr Risiko besteht. Ich habe viele Gespräche zum Thema Bedrohungsmodellierung geführt. Wenn Ihre Nachrichten kompromittiert werden – und für alle Zuhörer, die damit noch nicht begonnen haben: Schauen Sie sich einfach ein paar Nachrichtenartikel an und fragen Sie sich: „Was würde passieren, wenn uns das passieren würde?“ Das ist ein guter Einstieg in die Bedrohungsmodellierung. Ich habe sieben Kategorien, in die ich mobile Nachrichten einordne, und dann erstellen wir für alle diese Nachrichten Bedrohungsmodelle, wobei wir uns darüber im Klaren sind, was passiert, wenn sie kompromittiert werden, was passiert, wenn die Metadaten kompromittiert werden, was passiert, wenn der Regierungschef eines Landes mit dem Regierungschef eines anderen Landes spricht und diese Metadaten kompromittiert werden, sodass Angreifer nun den Aufenthaltsort dieser Personen kennen. Das ist wirklich der beste Ausgangspunkt.

Das wird nicht für alle gleich sein – ein Hersteller von Dachschindeln sammelt vielleicht personenbezogene Daten über seine Kunden, die er schützen muss, aber das erfordert eine andere Ebene der Bedrohungsmodellierung und bedeutet auch eine andere Ebene der Richtliniengestaltung. Das könnte einfach bedeuten, zu sagen: „Mitarbeiter, keine Weitergabe von persönlichen Identitätsdaten oder Kundendaten, die als personenbezogene Daten gelten können, über Messaging-Apps.“ Damit wäre die Richtlinie fertig. Es wird zwar mehr als das sein, aber Sie verstehen, worauf ich hinauswill. Für Regierungen wird das Seiten über Seiten an Überlegungen erfordern.

Wir stellen jedoch fest: Sobald dieses Maß an Transparenz und Klarheit gegeben ist, fallen die anschließenden Entscheidungen viel leichter, denn man muss nur einen Blick darauf werfen und kann dann sagen: „Da muss ich wirklich etwas unternehmen.“

KB: Und was passiert, wenn Menschen in dieser Hinsicht gefährdet sind?

CG: Das sind die Schlagzeilen, die wir sehen. Das Gesamtbild der Geschehnisse ist jedoch viel umfassender als das, worüber wir hier sprechen.

Man hat eine Nachricht von einem Gerät, eine Nachricht von einem anderen Gerät, und all diese Metadaten schwirren auf beiden Seiten herum. Diese Nachricht wird über ein Netzwerk übertragen, von dem wir wissen, dass es feindlich ist. Man kann nirgendwo auf der Welt einen Stock werfen, ohne einen Ort zu finden, an dem nicht bereits „ Salt Typhoon “ oder irgendein anderer APT-Angreifer das Netzwerk an irgendeiner Stelle oder in irgendeiner Form kompromittiert hat. Man hat eine Nachricht, die in einem feindlichen Netzwerk beginnt und an einem anderen Ende ankommt. Was wir beobachten, ist, dass dies an die Oberfläche kommt – nicht nur die Nachricht selbst und die Metadaten, sondern auch das Risiko, das mit der Übertragung dieser Metadaten einhergeht.

Es handelt sich nicht nur um ein einziges Problem – es sind eine ganze Reihe von Problemen. In einer von Ausbeutung geprägten Lieferkettenwelt, deren Zunahme wir in den letzten drei oder vier Jahren beobachtet haben, werden die Angreifer immer schlauer. Sie testen die Lieferkette und sagen: „Ihr wollt hier eine Sicherheitsmaßnahme? Na gut, dann setzen wir hier an, denn das können wir einfach umgehen.“ Genau das passiert gerade, und die Situation wird sich weiter zugunsten der Angreifer entwickeln, vor allem, weil manche dieser Probleme nicht behebbar sind.

KB: Hier gibt es noch eine weitere Zahl: 88 Prozent geben an, dass sie Vertrauen in die Sicherheit von Apps bei der Bearbeitung vertraulicher Arbeitsinhalte haben. Wie äußert sich dieses Vertrauen konkret?

CG: In ihrer reinsten Form zeigt diese Statistik, wie falsch wir das Konzept der Verschlüsselung verstehen. Wenn man das Wort „Verschlüsselung“ hört, denkt man automatisch: „Dann kann ich über alles reden, was ich will“, ohne wirklich zu verstehen, was Verschlüsselung eigentlich bedeutet.

Nehmen wir meine Analogie mit dem gepanzerten Wagen: Man kann zwar den Inhalt dieses gepanzerten Wagens schützen, aber selbst wenn es sich um den stärksten gepanzerten Wagen der ganzen Welt handelt – wenn er geknackt wird, kann man trotzdem an den Inhalt gelangen. Genau so werden Nachrichten über ein Mobiltelefon übertragen.

Diese 88-prozentige Sicherheit rührt lediglich daher, dass wir nicht ausreichend darüber sprechen, was passiert, wenn das Gerät gerootet ist, oder was geschieht, wenn Angreifer die Verschlüsselung anhand von Metadaten umgehen. Wir sprechen nicht ausreichend über die gesamte Sicherheitslücke, sondern begnügen uns damit zu sagen: „Großartig, die Nachricht ist durchgehend verschlüsselt, das reicht.“ Das reicht eindeutig nicht aus.

KB: In letzter Zeit gab es einige Schlagzeilen darüber, dass dies nicht ausreicht und die sprichwörtlichen Räder langsam ins Stocken geraten. Würden Sie sagen, dass Kunden, Unternehmen und Regierungen langsam den Durchblick bekommen?

CG: Wir haben viel über den notwendigen Kulturwandel diskutiert. Das Problem ist – und das liegt nicht an einer einzigen Ursache –, dass es sich hier wirklich um ein Kulturproblem handelt, um eine Wissenslücke in Sachen Verschlüsselung, über die wir gerade gesprochen haben, und darum, das nötige Vertrauen aufzubauen, um dieses Problem zu lösen. Im Bereich Sicherheit sprechen wir über diese großen, pauschalen Sicherheitsprobleme, aber wir sind nicht immer besonders gut darin, Lösungen anzubieten oder zu sagen, was wir tun sollten, denn politische Entscheidungen kommen immer mit Verzögerung, und kritische Infrastrukturen reagieren nur langsam – was auch richtig ist, da sie vorsichtig vorgehen.

Was wir tatsächlich haben, ist eine Lücke – eine Lücke zwischen dem Vertrauen in die App-Sicherheit und einem Missverständnis darüber, was End-to-End-Verschlüsselung bedeutet, sowie eine Lücke in den Richtlinien und Vorschriften hinsichtlich dessen, was wir tun sollten. Was sollte unser Maßstab oder unsere Grundvoraussetzung sein? Wie sollte das Verhalten aussehen? Und das verflechtet sich mit einer ganzen Reihe von Dingen, die sich ändern müssen. Es muss von Anfang bis Ende durchdacht sein – es geht nicht nur um eine einzige Sache. Was den Aufbau von Vertrauen und die Umsetzung in die Praxis angeht – es geht langsam voran, aber es geht voran. Vor allem im letzten Monat beobachten wir einen enormen Anstieg an Exploits.

KB: Der letzte Monat war geprägt von Sicherheitslücken, Schlagzeilen und Ähnlichem – glauben Sie, dass sich dieser Trend im weiteren Verlauf des Jahres und darüber hinaus noch verstärken wird?

CG: Ja, denn der erste Schritt bei allem Neuen im Bereich Sicherheit besteht darin, einfach zu akzeptieren, dass wir ein Problem haben – und genau da sind wir gerade. Nun hat das „ Ökosystem “ anerkannt, dass es ein Problem gibt, und diese Probleme häufen sich. Jetzt sind wir auf der Suche danach, und das ist schon die halbe Miete. Diese neuen Schlagzeilen, die gerade auftauchen – kürzlich gab es eine großartige, zwar keine erfreuliche Nachricht, aber einen guten Artikel, der sich mit einigen der Untersuchungen rund um das Pentagon befasste.

Sobald diese Fälle bekannt werden, werden wir mehr Berichte darüber erhalten, weil mehr Menschen darauf achten. Das bedeutet nicht unbedingt, dass es häufiger vorkommt. Es bedeutet, dass wir darauf achten und es bemerken. Wenn die Menschen wachsam sind und darauf achten, kann ich mit Sicherheit sagen, dass wir mehr Schlagzeilen sehen werden, die dazu führen werden, dass sich das Verhalten ändert.

KB: Glaubst du, dass es eines dieser Dinge ist, die zunächst unbemerkt geblieben sind, sich dann aber in unserer Branche eingeschlichen haben und uns hart getroffen haben?

CG: Das tue ich , und ich betone noch einmal: Das ist nicht die Schuld eines bestimmten Bereichs der Sicherheitsbranche. Man kann nicht auf einen bestimmten Bereich zeigen und sagen, dass wir dort keine gute Arbeit geleistet haben. Das ist überhaupt nicht der Fall. Diese Apps sind großartig. Sie ermöglichen es den Menschen weltweit, das zu tun, was sie tun müssen, nämlich klar und schnell zu kommunizieren, und das brauchen wir in unserem Leben. Und bedenken Sie auch, dass es sich nicht nur um ein Problem der Apps handelt – sie kommunizieren über ein unsicheres Netzwerk.

Selbst wenn man ein Problem löst, muss man sich dennoch mit den anderen befassen. Wir wissen, dass „ Salt Typhoon “ alle diese Mobilfunknetze infiltriert hat. Und um noch einen Schritt weiter zurückzugehen: Wenn man jemandem eine Nachricht über WhatsApp schickt, läuft diese – ganz gleich, ob sie über WLAN oder Mobilfunk gesendet wird – konzeptionell über diesen Technologiekette. Dabei könnte sie sechs oder sieben Mal angehalten und weitergeleitet werden. Einige dieser Technologien stammen aus den 1970er Jahren. Es liegt in der Natur der Sache: Wenn man eine WhatsApp- oder Signal-Nachricht oder auch nur eine normale SMS verschickt, wandert diese zwischen Ihrem Mobilfunkanbieter über ein Netzwerk aus den 1970er Jahren, macht an manchen Stellen sechs bis acht Sprünge und erreicht dann ein anderes Gerät bei einem anderen Anbieter in einem kompromittierten Netzwerk. Denken Sie mal darüber nach: Es gibt so viele Orte, an denen sich ein Angreifer verstecken kann. Und wenn er wirklich die Metadaten will – von denen wir wissen, dass er hinter ihnen her ist, nicht hinter der Nachricht selbst –, erstellt er Dossiers und wählt bestimmte Personen für Angriffsmuster aus, weil er einfach nur wissen will, wo Sie sich um neun Uhr morgens befinden, wenn Sie diese Nachricht versenden. Genau hier werden wir bald eine Verlagerung beobachten: Der Fokus liegt auf den Metadaten.

KB:Wenn ich dir eine Nachricht zu einem vertraulichen Thema schicken wollte, wäre es dann sicherer, dir eine SMS zu schicken, oder wäre es sicherer, dir etwas über diese Messaging-Apps zu schicken?

CG: Das kommt darauf an. Jeder Anbieter von Messaging-Apps sammelt unterschiedliche Metadaten – das muss man als Erstes bedenken. Du schickst mir eine Nachricht über WhatsApp, und ich erhalte sie über WhatsApp. WhatsApp/Meta sammelt all diese Metadaten. Das Unternehmen geht damit sehr offen um. Das ist kein Geheimnis – es ist allgemein bekannt. Wenn man nachschlägt, welche Metadaten WhatsApp sammelt: Sie sammeln sie, sie verkaufen sie, und jetzt nutzen sie „ KI “, um sie ohne Opt-out-Möglichkeit zu erfassen. Wir sind das Geld – wir sind ihr Gewinn. Es ist nicht kostenlos. Die Messaging-Apps sind aus einem bestimmten Grund kostenlos: Sie verdienen Geld mit den Metadaten.

Was ist die sicherste Lösung? Die sicherste Lösung ist die Verwendung eines lokalen Messaging-Systems, das Ihnen gehört, bei dem Sie Eigentümer der Schlüssel und der Metadaten sind und bei dem diese Metadaten nirgendwohin gelangen. Es gibt zahlreiche Lösungen. Wir haben eine mit BlackBerry^®SecuSUITE^®, bei dem BlackBerry die Metadaten administrativ kontrolliert und diese das Gebäude, von dem aus sie gesendet werden, nicht verlassen. Wenn ich dir eine Nachricht über ein anderes BlackBerry- SecuSUITE -Konto sende, dann gehören diese Metadaten auf der Empfängerseite deinem Unternehmen – sie befinden sich nirgendwo anders. Die Verschlüsselungsschlüssel werden lokal gespeichert, das System ist souverän, und die Verschlüsselung entspricht den von der NSA genehmigten Standards, sodass kein Zweifel daran besteht, ob die Verschlüsselungsanforderungen erfüllt sind. Das ist die sicherste Option. Am wenigsten sicher ist es, WhatsApp-zu-WhatsApp-Nachrichten über andere Teile der Welt zu versenden, denn wie weit die Nachricht zurücklegt, hängt davon ab, wie viele Übergaben sie durchläuft, und jede einzelne vergrößert die Angriffsfläche.

KB: 52 Prozent der Befragten geben an, dass sie Bedenken haben, die Telekommunikationsinfrastruktur könnte von einem Angreifer überwacht oder gestört werden. Sollten Telekommunikationsunternehmen reguliert werden, um diesen Bedenken hinsichtlich der Netzwerke Rechnung zu tragen? Sie haben die Infrastruktur aus den 1970er Jahren erwähnt. Was hat es damit auf sich?

CG: Manche Dinge entziehen sich im Bereich der Sicherheit den Gesetzen der Schwerkraft, und dies könnte eines davon sein. Die Sorge ist berechtigt – 52 Prozent unserer Befragten haben darauf hingewiesen, und die Fakten stützen dies. Das Citizens Lab veröffentlichte vor einigen Wochen eine Studie, in der über 1.700 SS7-Angriffe – das ist die Handover-Technologie im Netzwerk – aus einer einzigen Quelle innerhalb eines Zeitraums von 18 Monaten identifiziert wurden, von denen über 92 Prozent tatsächliche Standortverfolgungsoperationen gegen reale Ziele waren. Diese SS7-Technologie ist buchstäblich das Handover-Element in diesem veralteten Netzwerk, auf dem unsere gesamte Mobilfunkkommunikation aufbaut. Wem gehört das? Unsere eigentlichen Telekommunikationsunternehmen sind nicht unbedingt verantwortlich, da sich diese Technologie über die ganze Welt erstreckt. Man kann nicht einfach auf einen Teil davon zeigen und sagen: „Bringt diese Technologie aus den 1970er Jahren, auf der die Welt basiert, in Ordnung“, denn es ist wie bei Jenga – zieht man einen Stein heraus, fällt das ganze Gebilde zusammen.

Dennoch wendet sich das Blatt, und es tut sich etwas. Es mangelt uns nicht an Entschlossenheit. Das britische Telekommunikationssicherheitsgesetz (Telecom Security Act) ist das aktuellste Vorbild. Es verpflichtet Netzbetreiber, Sicherheitsmaßnahmen umzusetzen und festgestellte Bedrohungen an die Nationale Cyberbehörde zu melden. Das ist die Mindestanforderung, nicht die Obergrenze. Und ich war begeistert, als ich sah, dass dies geschieht, denn ich würde mir unter anderem wünschen, dass diese Telekommunikationsunternehmen ihre Erkenntnisse weitergeben – sie sehen schließlich eine Menge. Teilen sie diese Informationen mit Cyber-Behörden, die die Daten sammeln und an Menschen wie uns weiterleiten können, die versuchen, das Problem zu lösen? Was Regulierung allein nicht lösen kann, ist dieses Problem der Transparenz. Der Zugriff auf Ebene der Netzbetreiber ist für die meisten Sicherheitsprogramme von Unternehmen und Behörden praktisch unsichtbar. Die Aktivitäten finden ausschließlich auf der Netzwerkebene statt, und wir wissen, dass diese Netzbetreiber kompromittiert sind. Ja, es gibt Maßnahmen, die sie ergreifen müssen. Aber wir müssen auch verstehen, dass selbst wenn wir die Netzbetreiber zwingen, einen Teil dieser Sicherheitsarbeit zu übernehmen, ihnen die Hände gebunden sind – ab einem bestimmten Punkt auf der Netzwerkebene ist das einfach unmöglich.

Dennoch muss die Diskussion auf regulatorischer Ebene unbedingt zumindest diese Bedrohungsinformationen hervorbringen. Die Netzbetreiber müssen diese untereinander und mit den Regierungen austauschen, denn nur so kann die Absicherung der Infrastruktur vorangetrieben werden. Damit müssen wir beginnen, und wir beobachten derzeit unterschiedliche Grade der Umsetzung bei den Telekommunikationsunternehmen – sei es auf freiwilliger Basis oder, wie im Vereinigten Königreich, aufgrund der Vorgaben des dortigen Sicherheitsgesetzes. Ich begrüße diese Bemühungen.

KB: Wenn du sagst, das sei die Untergrenze, wo liegt dann im Idealfall die Obergrenze?

CG: Erstens: Wenn sie Informationen austauschen, die Maßnahmen ermöglichen – denn aus der Sicht der Verteidiger sehen wir nur die Straftat, wir sehen das Ergebnis. Wir sehen nicht, was die Telekommunikationsunternehmen sehen. Wenn sie diese Erkenntnisse weitergeben, besteht der nächste Schritt darin, diese Informationen zu koordinieren, und das Ergebnis dieser Koordination wird in politische Maßnahmen münden. Denn wenn sich genügend dieser Telekommunikationsunternehmen zusammenschließen und beginnen, Informationen auszutauschen, und die Regierungen diese sammeln, können sie die höchsten Prioritäten ermitteln und dann damit beginnen, Verhaltensänderungen durchzusetzen.

Das Tüpfelchen auf dem i besteht nicht nur darin, diese Verhaltensänderung durchzusetzen, sondern auch langfristig zu betrachten, wie wir mit den Stellen im Netzwerk umgehen, die sich der Schwerkraft widersetzen – wie gehen wir mit der SS7-Technologie um und wie sieht der Plan aus? Und wie gehen wir mit Regionen der Welt um, die noch immer mit 2G-Verbindungen arbeiten? Das ist eine Tatsache: Teile des Globalen Südens haben noch kein technologisches Upgrade erfahren, um sich gegen all das zu wappnen. Wir müssen eingreifen und ihnen dabei helfen, diese grundlegende technologische Lücke zu schließen.

KB: Werden sich die Telekommunikationsunternehmen zusammensetzen und eine bessere Lösung für die Zukunft finden? Wie sieht ihre derzeitige Position aus?

CG: Bei den wenigen Telekommunikationsunternehmen, mit denen ich gesprochen habe – die meisten davon in den USA –, besteht definitiv Interesse. Auf dem Mobile World Congress im letzten Jahr wurde viel darüber gesprochen. Es war das erste Mal in meiner Karriere – und ich arbeite schon sehr lange, fast 20 Jahre, für Telekommunikationsunternehmen –, dass ich tatsächlich erlebt habe, wie die CEOs dieser Unternehmen auf einem World Congress erschienen und anerkannten, dass wir eine Lücke in den Richtlinien und ein Problem mit den Richtlinien haben und dass wir uns an einen Tisch setzen müssen, um zu erörtern, wie wir Richtlinien entwickeln können, hinter denen wir gemeinsam stehen und die wir unterstützen können. Ich war begeistert, das zu sehen, denn sie müssen an einem Strang ziehen. Sie ändern ihr Verhalten. In den letzten Monaten wurde ich persönlich kontaktiert, um dabei zu helfen, einige der Punkte voranzutreiben, die in diesen Richtlinien enthalten sein sollten. Wir bewegen uns in die richtige Richtung – es geht nur langsam voran.

KB: Was hält Unternehmen davon ab, diese Richtlinien durchzusetzen, insbesondere wenn Mitarbeiter private Messaging-Apps für vertrauliche Arbeitsangelegenheiten nutzen?

CG: Die Durchsetzung ist ein dreifaches oder vielleicht sogar vierfaches Problem. Es gibt Reibungsverluste, weil die Leute es ständig tun. Da ist die Angst vor Reibungsverlusten und die Vertrautheit – es ist einfach, jeder kennt die App, jeder nutzt sie. Um vier Uhr findet eine Finanzbesprechung statt, und ich muss allen eine Nachricht schicken. Das ist der schnellste Weg, das zu erledigen.

Dann gibt es noch das implizite, von der Führung geduldete Verhalten – wenn man weiß, dass der Vorgesetzte es tut, macht man es auch. Hier kommt das Fehlen klarer Richtlinien ins Spiel. Das muss von oben vorangetrieben werden, und es muss eine Lösung her. Consumer-Apps sind nicht kostenlos – sie sind sofort verfügbar und universell einsetzbar, aber sie sind nicht für den Einsatz in Unternehmen geeignet und wurden auch nie dafür konzipiert. Sie erfüllen einen so wichtigen Zweck in unserem Leben und verbinden Menschen auf der ganzen Welt, aber das ist wirklich ein Thema für die Sicherheitsführung, und genau hier liegt die größte Lücke.

Angreifer versuchen nicht, die Verschlüsselung zu knacken, und das müssen sie auch gar nicht.

Wenn hochrangige Beamte Verbraucher-Apps für sensible Regierungsangelegenheiten nutzen – und das vor den Augen der ganzen Welt öffentlich geschieht –, wirft das in der Regel Fragen auf. Genau das hält die Menschen davon ab. Es beginnt wirklich mit der Politik: Man muss wissen, wo man hinwill, und den Verhaltenswandel vorantreiben.

KB: Apropos Sicherheitslücken: 41 Prozent gehen davon aus, dass Verschlüsselung kompromittierte Geräte bereits schützt. Welche Sicherheitslücke wird hier übersehen?

CG: Das Gerät ist die Schwachstelle. Die Verschlüsselung schützt die Verbindung, nicht den Endpunkt. Wenn ein Gerät durch Spyware, einen Zero-Click-Exploit oder eine auf dem Gerät ausgeführte schädliche Anwendung kompromittiert wird, liest der Angreifer die Nachricht, bevor sie auf der Senderseite verschlüsselt und nachdem sie auf der Empfängerseite entschlüsselt wurde. Die Verschlüsselung wird umgangen, ohne dass sie geknackt wird.

Angreifer versuchen nicht, die Verschlüsselung zu knacken, und das müssen sie auch gar nicht. Sie sind schon weit darüber hinaus. Sie wollen das Gerät, das Konto und den Nutzer kompromittieren. Sie wollen die Metadaten. CrowdStrike hat dies auf Seiten der Angreifer ausdrücklich dokumentiert. Was sich hier ändern muss, ist das Denkmodell. Was sich ändern muss, ist die Erkenntnis, dass Verschlüsselung nur eine von vielen Sicherheitsmaßnahmen in einem Maßnahmenpaket ist – ohne die zugrunde liegende Geräteintegrität, verifizierte Identität und Netzwerksouveränität ist Verschlüsselung lediglich eine Maßnahme in diesem Paket, keine Sicherheitsstrategie.

KB: Auch die Souveränität steht ganz oben auf der Liste: 55 Prozent geben an, dass die souveräne Kontrolle über die Kommunikation eine Priorität darstellt. Wie gehen Organisationen damit um?

CG: Weltweit sehen wir eine breite Anerkennung und die Erkenntnis, dass es ohne souveräne Kontrolle über die Kommunikationsinfrastruktur unmöglich ist, Sicherheit zu gewährleisten. Ob es nun um die rechtliche Zuständigkeit geht, um Verschlüsselungsschlüssel, die bei einem Anbieter und nicht bei Ihnen selbst liegen, oder darum, zu wissen, woher die Daten stammen – einige große Akteure wurden in diesem Jahr in dieser Hinsicht in die Enge getrieben. Manche sagten: „Ihre Daten verlassen dieses Land nicht“, konnten dies aber nicht beweisen. Das war ein großer Rückschlag und sorgte landesweit für Schlagzeilen. Dann begann man zu beobachten, wie Länder ihre Daten abzogen, denn als es hart auf hart kam, handelte es sich lediglich um Marketing-Rhetorik.

Doch einige Regierungen werden aktiv. Der Ausbau souveräner Kommunikationssysteme in Europa schreitet zügig voran. Als Unternehmen beobachten wir dies zunehmend. Australien kam im März 2025 offiziell zu dem Schluss, dass es seine Standards für die Datenaufbewahrung erfüllt hat, und definierte Souveränität dabei als eine Frage der Regierungsführung und nicht nur als Sicherheitsaspekt. Es ging nicht nur darum, dass sie Souveränität wollten – sie sagten vielmehr: „Wenn es nicht souverän ist, durchläuft es unsere Sicherheitskontrollen nicht.“

Unternehmen, auch nichtstaatliche, ergreifen Maßnahmen. Sie erwägen die Einrichtung von „Air Gaps“ für sensible Umgebungen und den Einsatz speziell entwickelter Kommunikationsplattformen.

Nachrichten können über Verbraucher-Apps verschickt werden – das ist in Ordnung –, aber man sollte gezielt eine Kommunikationsplattform aufbauen, wenn dies nicht der Fall sein sollte. Wenn ich es im Moment als Phase bezeichnen müsste, dann wäre es die Phase, in der Prioritäten gesetzt und Maßnahmen ergriffen werden. In einigen Teilen der Welt geht es sehr schnell voran, und man verfolgt diesen Kurs mit Nachdruck. Wer noch nicht ganz so weit ist, spricht zumindest darüber, befindet sich also irgendwo in diesem Prozess.

KB: Aber 98 Prozent nutzen Plattformen, die keine souveräne Kontrolle ermöglichen. Was ist da los? Warum werden diese Plattformen dann überhaupt genutzt, wenn 55 Prozent der Menschen sich darüber Sorgen machen?

CG: Das ist ein Aufklärungsbeitrag. Die Kluft zwischen Anspruch und Umsetzung ist genau der Bereich, in dem Budget, Beschaffung und organisatorische Entscheidungsfindung angesiedelt sind – und genau dort stockt der Prozess. Es wird viel darüber gesprochen, aber wir müssen den Wandel vorantreiben.

Auf Plattformen wie Signal – das in hohem Maße auf AWS, einen Infrastrukturanbieter mit Hauptsitz in den USA, angewiesen ist – und WhatsApp, das zu Meta gehört, wird viel darüber diskutiert. Keines der beiden Angebote bietet auch nur ein Mindestmaß an Souveränität, und beide wurden für den privaten Gebrauch konzipiert. Organisationen, die diese Dienste nutzen, beginnen, dies zu begreifen.

Die Zahl von 98 Prozent ist der alarmierendste Wert in unserem Bericht. Sie bedeutet, dass die souveräne Kontrolle – die 55 Prozent der Befragten als Priorität bezeichnen – zwar für die Hälfte der Menschen wichtig ist, aber 98 Prozent nutzen Plattformen, die diese nicht gewährleisten können. Diese Lücke lässt sich zum Teil durch Vorgaben der Führungsebene, zum Teil durch die Planung künftiger Implementierungen und zum Teil durch die Durchsetzung mittels Richtlinien und Governance schließen. Die Welt verändert sich, und wir sind einfach zu langsam dabei, uns anzupassen. Das ist frustrierend, aber es geht voran.

KB: Wenn eine Krise eintritt, ist die erste Reaktion der Menschen, jemanden zu kontaktieren – in der Regel über ihr Mobiltelefon. 51 Prozent geben zu, dass ihnen eine einheitliche Kommunikationsplattform fehlt. Wie wird sich das auswirken?

CG: Das ist das Angriffsszenario, über das wir noch nicht genug sprechen, das ich aber als zukünftiges Problem betrachte. Angreifer sind schlau – wirklich schlau. Sie wissen, dass die Koordination von Sicherheitsereignissen eine große Angriffsfläche darstellt, weil sie zu Ermüdung führt.

Wenn Sie an einige der schwierigsten Situationen denken, die täglich auf der Welt passieren – können Sie sich vorstellen, dass die Menschen auf der anderen Seite keine einheitliche Plattform für die Krisenbewältigung haben? Sie arbeiten mit Tabellenkalkulationen, telefonieren, schreiben E-Mails – und Angreifer wissen genau, wie sehr das an den Nerven zehrt. Der beste Zeitpunkt, um durch ein offenes Fenster zuzuschlagen, ist genau in dieser Phase der Erschöpfung.

Die Diskrepanz zwischen der selbst eingeschätzten Bereitschaft und der tatsächlichen Leistungsfähigkeit ist der Punkt, an dem die Ergebnisse auseinandergehen.

Wenn ein Vorfall eintritt, greifen Menschen instinktiv zu dem ihnen vertrauten Werkzeug – und das Ergebnis ist eine fragmentierte, unkoordinierte und nicht nachvollziehbare Reaktion. Diese Messaging-Apps sind weder auf die Sicherheit von Menschen noch auf Rechenschaftspflicht ausgelegt – also darauf, Rechenschaft über das Wohlergehen Ihrer Mitarbeiter abzulegen. Sie haben 528 Mitarbeiter, und alle nutzen WhatsApp. Wer ist in Sicherheit und wer nicht? Wie lassen sich diese Informationen ermitteln? Dazu sind diese Plattformen nicht in der Lage.

Unsere eigenen Untersuchungen belegen dies: In einem Szenario mit gleichzeitigen Angriffen auf mehreren Ebenen geht das 30-minütige Zeitfenster für Abhilfemaßnahmen nicht aufgrund des Exploits verloren, sondern weil die Koordinierung der Reaktion über Organisationen und Zuständigkeitsbereiche hinweg zusammenbricht. Einige weitere Zahlen aus dem Bericht untermauern dies: 90 Prozent der Organisationen bezeichnen sich selbst als krisenfest, doch nur 49 Prozent verfügen über eine einheitliche Plattform für die Krisenkommunikation. Und was sie als einheitliche Plattform für die Krisenkommunikation bezeichnen, enthält viele Elemente, die nicht funktionieren werden. Das sind Selbstbewertungen.

Die Diskrepanz zwischen der selbst eingeschätzten Bereitschaft und der tatsächlichen Leistungsfähigkeit ist der Punkt, an dem die Ergebnisse auseinandergehen. Dies erfordert unter anderem das, worüber wir gesprochen haben: Unabhängigkeit von kommerziellen Netzwerken, die selbst Teil der Angriffsfläche sein könnten. Wenn man diese Netze im Falle einer Cyberkrise nutzt und das eigene Netzwerk ausfällt oder es sich um eine geografisch begrenzte Krise handelt und das Mobilfunknetz ausfällt, kann man sie überhaupt nicht nutzen. Dieses Verständnis unternehmensweit zu koordinieren, ist schwierig, aber das ist ein weiteres Thema, über das wir gerade sprechen.

KB: Manchmal unterhalte ich mich gerade mit jemandem auf Instagram, dann sind wir auf LinkedIn, dann auf Signal, Telegram und WhatsApp. Ich kann mir vorstellen, wie es wäre, wenn man versucht, eine Nachricht an Tausende von Menschen zu verbreiten, während alles schiefgelaufen ist – wie soll da jemand wissen, wo er suchen muss?

CG: Ein Teil der Herausforderung besteht darin, die Führungskräfte dazu zu bringen, sich diese Krisenreaktionspläne anzusehen und zu analysieren, inwieweit sie von Telefonketten, kostenlosen Messaging-Apps oder E-Mail abhängig sind. Ich habe mich in letzter Zeit beratend mit diesem Thema beschäftigt: Wie erstellen wir einen echten Krisenreaktionsplan, der es uns ermöglicht, unsere Mitarbeiter in jeder Krisensituation zu schützen, sei es bei einem Cyberausfall, einem Tornado oder einer Überschwemmung? Mir ist noch kein Plan begegnet, der nicht auf eine dieser Technologien oder – schlimmer noch – auf mehrere Technologien angewiesen ist, die vielleicht funktionieren oder auch nicht. Und Ihre Fürsorgepflicht gegenüber Ihren Mitarbeitern – wie melden Sie, wer in Sicherheit ist und wer nicht? Auch das fließt wieder in Tabellenkalkulationen ein. Was passiert, wenn die Tabelle nicht verfügbar ist? Es handelt sich wirklich nur um ein Bündel zusammengeflickter, veralteter Critical Event Management Teile. Gerade jetzt, wo wir uns mit der Bedrohung durch „ KI “ auseinandersetzen und damit, was das für die Cyberwelt im Allgemeinen bedeuten wird – das ist die Krise, über die wir nicht genug sprechen, und sie lässt sich nicht bewältigen, indem man Tabellenkalkulationen und Verbraucher-Tools zusammenflickt.

KB: Ein Blick in die Zukunft: Quantencomputer. Aus medienpolitischer Sicht ist das ein großes Thema, das langsam in den Fokus rückt. 61 Prozent rechnen innerhalb der nächsten fünf Jahre mit Bedrohungen durch Quantencomputer, aber 78 Prozent haben noch keine Abwehrmaßnahmen getroffen. Erläutern Sie mir doch bitte einige dieser Zahlen.

CG: Das hat mich auch schockiert. Es ist dasselbe Muster, das wir bei jeder langfristigen Sicherheitsbedrohung beobachten – wir glauben, dass sie real ist, und gehen davon aus, dass der Zeithorizont länger ist, als er tatsächlich ist. Das aktuelle Risiko, über das wir gerade sprechen – ähnlich wie beim Problem mit den Messaging-Apps –, besteht nicht darin, dass ein Quantencomputer Ihre Verschlüsselung heute knackt. Es ist die Herausforderung, Daten jetzt zu sammeln und später zu entschlüsseln. Angreifer – und wir wissen, dass dies geschieht, weil wir es beobachten – sammeln und speichern verschlüsselte Regierungs- und Unternehmenskommunikation, die möglicherweise über den kompromittierten App- Ökosystem läuft, mit der ausdrücklichen Absicht, diese zu entschlüsseln, sobald die Quantenkapazitäten verfügbar sind. Lassen Sie das einen Moment auf sich wirken. Kriminelle denken voraus und sagen sich: „Irgendwann wird sich das knacken lassen, also werde ich jetzt Vorräte anlegen, damit ich an dem Tag, an dem es soweit ist, über einen Kriegsschatz verfüge.“

Die Federal Reserve hat im Jahr 2025 eine Studie veröffentlicht, die sich speziell mit diesem Thema befasst. Die G7 hat die Quantensicherheit zu einer Priorität für das Jahr 2026 erklärt, und das NIST hat die ersten Standards für Post-Quanten-Kryptografie fertiggestellt. Diejenigen, die darüber sprechen, sind sich der Problematik bewusst, und die regulatorischen Standards entwickeln sich weiter. Die meisten Organisationen sind sich dessen leider nicht bewusst – daher besteht hier eine ziemlich große Lücke.

Nach Expertenmeinung wird die entsprechende Quantenkompetenz voraussichtlich um das Jahr 2030 herum erreicht, plus/minus zwei Jahre. Das klingt noch weit entfernt, bis man sich vor Augen führt, wie langsam die Umstellungsbemühungen voranschreiten. Denken Sie einmal darüber nach: 2030, plus/minus zwei Jahre, bedeutet potenziell schon 2028 – also in zwei Jahren. Das ist wirklich nicht mehr viel Zeit.

Alle Gespräche, die wir gerade geführt haben, deuten darauf hin. All diese Unterhaltungen, in denen wir sagen: „Die Nachricht ist verschlüsselt, also ist sie sicher“ – diese Metadaten werden angegriffen, und diese Nachrichten werden definitiv gespeichert. Die Frage ist nicht, ob die Quantencomputer kommen und das System knacken werden. Die Frage ist, ob Sie die Umstellung bereits vollzogen haben, bevor es soweit ist.

KB: Wie sollen wir dieses Problem lösen, wenn wir immer noch mit einer Telekommunikationsinfrastruktur aus den 1970er Jahren hantieren?

CG: Man muss es Schritt für Schritt angehen. Keiner von uns im Sicherheitsbereich hat einen Zauberstab, mit dem sich all diese Probleme lösen lassen. Man muss es Schritt für Schritt angehen.

Ein paar Gedanken.

Erstens: Beim Thema Quantencomputing besteht der erste Schritt darin, eine Bestandsaufnahme durchzuführen. Viele Unternehmen und sogar einige staatliche Akteure wissen nicht, was verschlüsselt ist und was nicht, oder wie sie dies innerhalb ihrer eigenen Dateninfrastruktur herausfinden können. Schritt eins: Ermitteln Sie, wo Änderungen vorgenommen werden müssen. Schritt zwei: Ziehen Sie Ihre Lieferanten zur Verantwortung. Wenn Verschlüsselung bei Ihren Lieferanten eine Rolle spielen soll, fragen Sie sie, welchen Plan sie haben, um quantenfest zu sein. Wenn sie keinen haben, sollte Ihnen das zu denken geben – drängen Sie sie dazu, einen zu entwickeln.

Zweitens: Bei der Messaging-App „ Ökosystem “ besteht die wichtigste Maßnahme darin, sicherzustellen, dass Metadaten administrativ gespeichert und kontrolliert werden. Wo befinden sie sich? Wenn sie derzeit über kostenlose Messaging-Apps übertragen werden, ist das Ihre erste Herausforderung. Damit einher geht die Notwendigkeit, den Fokus weg von der Verschlüsselung als unserem primären Sicherheitsnetz zu verlagern. Angreifer zielen nicht mehr so wie früher auf die Verschlüsselung ab – sie sind weitergegangen und heben die Daten zunächst auf, um sie später zu entschlüsseln. Was sie tatsächlich angreifen, sind die Metadaten und das Gerät im weiteren Sinne. Richten Sie Ihren Fokus darauf, wie Sie die Metadaten Ihrer Mitarbeiter in deren mobiler Kommunikation schützen.

Drittens: Richtlinien festlegen. Indem Sie Richtlinien festlegen, signalisieren Sie dem „ Ökosystem “ und der Branche, dass Sie strengere Sicherheitsmaßnahmen zum Schutz Ihrer Mitarbeiter durchsetzen werden. Außerdem senden Sie damit eine wichtige Botschaft an die Telekommunikationsunternehmen, die sich bereits in die richtige Richtung bewegen. Unterstützen Sie die Telekommunikationsunternehmen dabei, Bedrohungsinformationen an ihre Regierungen weiterzugeben, damit diese Informationen koordiniert und genutzt werden können, um konkrete Vorgaben für Veränderungen voranzutreiben – so wie wir es im Vereinigten Königreich gesehen haben.

Das sind die drei Punkte, die wir als Branche vorantreiben können, um Veränderungen zu bewirken.