In ganz Europa wird in einer Hauptstadt nach der anderen eine ähnliche Entscheidung getroffen. Die Regierungen kommen zu Recht zu dem Schluss, dass sensible Angelegenheiten nicht von Messenger-Apps für Verbraucher abhängen sollten und dass die offizielle Kommunikation unter nationaler Kontrolle bleiben muss. Frankreich betreibt „Tchap“. Deutschland betreibt den „BundesMessenger“. Belgien, Polen, Luxemburg und andere Länder haben nationale Entsprechungen eingeführt, und die NATO hat eine eigene Lösung für ihre Mitarbeiter entwickelt. Die Richtung ist unverkennbar. Die entscheidendere Frage ist, ob Souveränität am besten dadurch gewährleistet wird, dass man den Quellcode besitzt, oder dadurch, dass man die Kontrolle darüber hat, wo das System betrieben wird, wer die Schlüssel besitzt, welches Recht für das System gilt und wer für dessen Sicherheit verantwortlich ist.

BlackBerry Secure Communications nähert sich dieser Frage auf der Grundlage langjähriger Erfahrung im Bereich der sicheren Kommunikation auf Regierungsebene, einschließlich von Implementierungen, bei denen nationale Kontrolle, inländischer Betrieb und zertifizierte Sicherheit unverzichtbar sind. Souveränität sollte der Maßstab sein. Die Frage ist, ob eine selbst entwickelte Plattform oder zertifizierte Technologie, die nach nationalen Vorgaben eingesetzt wird, auf lange Sicht eine stärkere Kontrolle gewährleistet – und was ein Land aufbringen muss, um diese Kontrolle zu sichern.

Entwicklung oder Bereitstellung nach nationalen Vorgaben

Regierungen haben in der Regel zwei Möglichkeiten, die staatliche Kontrolle über die offizielle Kommunikation zu erlangen:

1. Sie können eine eigene Plattform aufbauen oder eine bestehende Plattform forken und diese selbst betreiben;

2. Sie können zertifizierte kommerzielle Software ganz nach ihren eigenen Bedingungen einsetzen: auf nationaler Infrastruktur, wobei die Verschlüsselungsschlüssel ausschließlich vom Staat und von niemand anderem verwahrt werden, von der eigenen nationalen Behörde genehmigt und innerhalb der eigenen Landesgrenzen betrieben.

Beide Wege können dazu führen, dass eine Regierung die Kontrolle übernimmt. Der Unterschied liegt nicht im Ziel, sondern in dem Betriebsmodell, das ein Land akzeptiert, um dieses Ziel zu erreichen. Eine selbst entwickelte Plattform bündelt die Verantwortung für Patches, Zertifizierung, Personal, Ausfallsicherheit und langfristige Finanzierung innerhalb eines einzigen nationalen Programms. Ein zertifiziertes kommerzielles Modell kann die nationale Kontrolle wahren und gleichzeitig auf das technische Know-how, die Reaktion auf Sicherheitslücken und die Betriebserfahrung zurückgreifen, die bereits bei einem breiteren Kundenstamm vorhanden sind.

Der Entwicklungsweg ist aus verständlichen Gründen attraktiv: Er vermittelt das Gefühl, Unabhängigkeit in höchstem Maße zum Ausdruck zu bringen; dank moderner Werkzeuge lässt sich ein funktionierender Prototyp schneller als je zuvor auf die Beine stellen; und eine nationale Plattform kann als Investition in die heimischen Fähigkeiten präsentiert werden. Keine dieser Beweggründe ist falsch. Aber sie beschreiben lediglich den Moment der Markteinführung. Die größere Herausforderung besteht darin, was das Land finanzieren, mit Personal ausstatten, zertifizieren und verteidigen muss, nachdem die Plattform in Betrieb genommen wurde.

Wozu ein Bauprojekt ein Land verpflichtet

Fast keiner der derzeit im Einsatz befindlichen nationalen Messenger wurde von Grund auf neu entwickelt. Die meisten sind Abspaltungen derselben Open-Source-Grundlage, die vom Staat angepasst und fortan weiter gepflegt wurden. Dies ist eine vernünftige technische Entscheidung. Es bedeutet aber auch, dass die Regierung alles übernimmt, was auf dieser Grundlage in der Folge entwickelt wird – und zwar dauerhaft.

Die Einrichtung einer Plattform ist ein Projekt mit einem Anfang und einem Ende. Der sichere Betrieb ist hingegen eine dauerhafte Aufgabe der Regierung. Dies bedeutet kontinuierliche Sicherheitspatches, einen Rund-um-die-Uhr-Betrieb, wiederkehrende Zertifizierungen, internes Fachwissen in den Bereichen Kryptografie und Sicherheit sowie öffentliche Rechenschaftspflicht, wenn etwas schiefgeht.

Die Kosten für eine Entwicklung werden oft als einmaliger Betrag angegeben. Die tatsächlichen Kosten ergeben sich jedoch aus den Betriebskosten über einen Zeitraum von zehn Jahren, wobei der Großteil davon erst nach der Einführung anfällt. Kontinuierliche Patches, ein Security Operations Center, wiederkehrende Zertifizierungen und die dahinter stehenden Spezialisten kosten in etwa gleich viel, unabhängig davon, ob sie für eine oder fünfzig Behörden tätig sind. Ein Anbieter baut diese Kapazitäten einmal auf und verteilt sie auf alle Kunden. Eine Behörde, die ihr System selbst entwickelt, muss die gesamten Kosten aus einem einzigen Staatshaushalt tragen. 

Auf beiden Wegen besteht die gleiche operative Belastung. Der Unterschied besteht darin, ob ein einzelner Staatshaushalt diese Belastung allein trägt.

Die Bedrohung hat die Lage neu bewertet

Es gibt einen neuen Aspekt, den jeder, der heute über den Entwicklungsweg nachdenkt, im Blick behalten sollte. Da automatisierte Tools die Zeitspanne zwischen der Bekanntwerdung einer Sicherheitslücke und ihrer Ausnutzung verkürzen, kommt es nicht mehr darauf an, ob sich eine Regierung einen Patch leisten kann. Entscheidend ist vielmehr, ob sie den Patch innerhalb des Zeitfensters installieren kann, bevor die Schwachstelle gegen sie ausgenutzt wird.

Anfang dieses Jahres kam es bei einer dieser nationalen Plattformen zu einem Sicherheitsvorfall. Dabei wurde keine Verschlüsselung geknackt und es wurde auch keine Schwachstelle in der Software selbst ausgenutzt. Ein einzelnes Benutzerkonto wurde durch Social Engineering kompromittiert – und das reichte aus, um Zugriff auf die unverschlüsselten öffentlichen Räume zu erlangen, die aufgrund der Architektur für jeden authentifizierten Benutzer einsehbar sind. Die Verschlüsselung hat ihre Aufgabe erfüllt. Die Sicherheitslücke scheint auf die umgebende Architektur zurückzuführen zu sein: ein Modell, das von einer Open-Source-Stiftung übernommen und im Rahmen eines einzigen nationalen Programms gepflegt wurde.

Die Tiefe ist entscheidend, da die Reaktion auf Sicherheitslücken von Telemetriedaten, Bedrohungsinformationen, technischen Kapazitäten, Kundentransparenz sowie schnellen Tests und Bereitstellungen abhängt. Ein kleines nationales Team, das auf eine Korrektur durch einen vorgelagerten Anbieter wartet, über die es keine Kontrolle hat, befindet sich in einem strukturellen Nachteil in einem Wettlauf, der mittlerweile in Stunden gemessen wird. Ein Unternehmen, das die Reaktion auf Sicherheitslücken für einen breiten Kundenstamm durchführt, ist in der Lage, schneller zu handeln, wenn sich die Bedrohung beschleunigt.

Das Gleiche gilt für die Ausfallsicherheit. Die Fähigkeit, Spitzenauslastungen, gestörte Netzwerke und eine möglicherweise selbst angegriffene Infrastruktur standzuhalten, hat sich in zahlreichen Einsatzszenarien bewährt und wird nicht erst beim ersten landesweiten Vorfall der Plattform selbst unter Beweis gestellt.

Wenn die Ausnutzung der Sicherheitslücke innerhalb weniger Stunden nach ihrer Offenlegung erfolgt, ist die Verantwortlichkeit für die Behebung wichtiger als die Urheberschaft des Codes.

Mehr als nur eine Messaging-App

Es gibt noch einen weiteren Aspekt, den eine Messaging-Abspaltung nicht berücksichtigt. Die Absicherung von Sprach- und Textnachrichten ist eine echte Herausforderung, und eine Abspaltung, die dies leistet, hat etwas Wesentliches bewirkt. Doch sichere Kommunikation geht über das reine Messaging hinaus. Das Gerät, auf dem die Kommunikation stattfindet, muss ebenfalls geschützt werden, da der Austausch sonst nur so sicher ist wie der zugrunde liegende Endpunkt. Wenn ein Vorfall mehrere Behörden betrifft, die keiner gemeinsamen Befehlskette unterstehen, muss auch die Reaktion zwischen diesen koordiniert werden. Jede Ebene ist eine eigene Lösung mit eigener Zertifizierung und eigenem Betriebsaufwand. Ein Fork deckt die erste Ebene ab. Eine Regierung, die den vollen Funktionsumfang nutzen möchte, verpflichtet sich damit faktisch dazu, mehr als eine Plattform aufzubauen und zu unterhalten.

Souveränität bedeutet Kontrolle, nicht Urheberschaft

Hinter all dem verbirgt sich eine Verwirrung, die es wert ist, benannt zu werden. Souveränität wird manchmal als Frage danach behandelt, wer den Code geschrieben hat, obwohl es in Wirklichkeit um Kontrolle geht: Wer besitzt die Schlüssel, wo läuft das System, welches Recht gilt dafür und wer trägt die Verantwortung dafür? Eine Regierung kann jede einzelne Zeile selbst schreiben und dennoch für Sicherheitspatches auf einen ausländischen Upstream-Anbieter angewiesen sein. Sie kann auch kommerzielle Software einsetzen und dabei alle wichtigen Kontrollpunkte in der Hand behalten, sofern die Architektur entsprechend ausgelegt ist.

Das ist der Unterschied, den jede Regierung, die diese Entscheidung abwägt, im Auge behalten sollte. Das Ziel ist nicht die Urheberschaft um ihrer selbst willen. Das Ziel ist die Kontrolle darüber, wo die Software läuft, wer die Schlüssel besitzt, wer sie zertifiziert und betreibt und wer die Verantwortung übernimmt, wenn sie verteidigt werden muss. Die Urheberschaft kann ein Weg zu dieser Kontrolle sein, aber sie ist nur ein Weg. Die technische Tiefe, der Betriebsaufwand und das Budget, die eine selbst entwickelte Plattform jedes Jahr erfordert, sind begrenzt. Was hier ausgegeben wird, kann nicht für den Rest einer nationalen Sicherheitsmission aufgewendet werden. Unter gleichgesinnten Nationen wird die Widerstandsfähigkeit gestärkt, indem man sich dort aufeinander verlässt, wo es sinnvoll ist, anstatt dass jede für sich allein dieselbe Grundlage neu aufbaut.

Secusmart bietet ein Beispiel für die praktische Umsetzung dieses Modells. Es handelt sich um ein deutsches Unternehmen, das innerhalb der deutschen Strukturen entwickelt und betrieben wird und von der zuständigen Bundesbehörde zertifiziert ist. Seine Arbeit im Bereich der sicheren Regierungskommunikation ist seit Jahren fester Bestandteil der nationalen Landschaft. Dies zeigt, dass Souveränität nicht zwangsläufig bedeutet, jede Ebene eigenständig neu aufzubauen. Regierungen sollten Souveränität ohne Kompromisse einfordern und anschließend die Gesamtkosten über einen Zeitraum von zehn Jahren berechnen, bevor sie entscheiden, welches Modell sie selbst betreiben wollen.