Zum Thema BlackBerry geht’s gerade wieder hoch her in Deutschland. Unter “Bundesamt warnt vor BlackBerry” und ähnlichen Schlagzeilen hat sich eine zunehmend intensive Pressediskussion über vermeintliche Sicherheitslücken in der populären Mobile-Mail-Lösung entwickelt, die Anfang des Monats von einem Artikel in der Wirtschaftswoche angestoßen wurde. Die Wettbewerber reiben sich natürlich die Hände, RIMs COO Don Morrison sieht den Hersteller von BlackBerry dagegen einer Desinformationskampagne ausgesetzt. Ein jetzt beim Fraunhofer-Institut für sichere Informationstechnologie in Auftrag gegebenes Gutachten soll zeigen, dass die Lösung sicher ist und die Diskussion beenden.
Wer sich allerdings die Mühe macht, der Sache genauer auf den Grund zu gehen, der sieht recht wenig von Verschwörung. Dafür findet er aber ein interessantes Lehrstück darüber, was passiert, wenn ein vom Erfolg verwöhnter internationaler Anbieter, eine schweigsame Behörde, kritische Sicherheitsexperten und Journalisten auf der Suche nach Schlagzeilen aufeinandertreffen.
Die Geschichte beginnt mit einem internen Gutachten des Bundesamts für Sicherheit in der Informationstechnik (BSI), eine dem Innenministerium untergeordnete Behörde. In dem Gutachten haben sich die Experten des BSI mit der marktführenden BlackBerry-Lösung auseinandergesetzt, die sowohl in den Chefetagen vieler Unternehmen als auch in Politik und Administration zunehmend genutzt wird. Im Raum steht die Frage nach der Sicherheit dieses Systems. Denn schließlich läuft mittlerweile ein Großteil der E-Mail-Korrespondenz von Führungskräften aus Industriestaaten über dieses System. Für jeden, der politische oder wirtschaftliche Spionage betreiben möchte, also ein außerordentlich interessantes Ziel.
Die Experten kommen zum Ergebnis, dass sie eine Sicherheit des BlackBerry-Systems nicht garantieren können, insbesondere weil eine wesentliche Komponente der BlackBerry-Architektur – das so genannte Network Operating Center (NOC) – unter der Kontrolle von RIM steht, nicht dagegen unter der Kontrolle von Nutzern der Lösung.
Um den Kritikpunkt zu verstehen, muss man einen kleinen Schlenker zu Sicherheits- und Verschlüsselungskonzepten machen. Früher wurden geheime Botschaften mit geheimen Verfahren verschlüsselt. Wenn diese Verfahren Unbefugten bekannt werden – wie etwa die deutsche Enigma-Maschine im zweiten Weltkrieg den Briten – dann können die Unbefugten alle Botschaften entschlüsseln und abhören. Aus diesem Grund wählt man heute eine andere Herangehensweise. Moderne Verschlüsselungsverfahren sind in der Regel bis in alle Einzelheiten bekannt, geheim sind nur bestimmte Schlüssel. Die Stärke des Verfahrens hängt dann zum einen davon ab, wie gut der mathematische Algorithmus ist und zum anderen davon, ob die Verschlüsselungssoftware diesen auch nach Vorschrift abbildet oder ob ein Programmierer entweder Fehler gemacht hat oder sogar bewusst Hintertüren offen gehalten hat.
Entgegen einiger Presseberichte hat an den Verschlüsselungsalgorithmen selbst, die bei BlackBerry zum Einsatz kommen, niemand Zweifel. Nach dem gegenwärtigen Stand der Technik gelten sie als sicher.
Schwieriger ist die Frage nach der Umsetzung der Verschlüsselung zu beantworten, denn dazu muss man die Programme selbst untersuchen. Um Bedenken auszuräumen, hat RIM deshalb mittlerweile vielen Regierungen bzw. von ihnen beauftragten Institutionen den Quellcode der Software für Untersuchungen zur Verfügung gestellt. Nach Aussagen von RIM ist die Beurteilung bislang immer positiv ausgefallen.
Eine solche Sicherheitsüberprüfung ist bei Software nicht ungewöhnlich. Allerdings findet sie ihre Grenzen dort, wo Unternehmen über den Einsatz der Software keine vollständige Kontrolle haben. Bei BlackBerry trifft dies auf das NOC zu. Wer garantiert, so das Argument von Kritikern, dass die überprüfte Software auch mit der auf dem NOC eingesetzten Software übereinstimmt? Selbst wenn es heute so ist, wer garantiert, dass dies auch morgen noch der Fall ist? Diese Bedenken kann man als spitzfindig, negativ und pessimistisch beurteilen – aber das entspricht in etwa der Stellenbeschreibung eines Sicherheitsexperten. Es bleibt also bei der BlackBerry-Lösung ein zumindest theoretisches Restrisiko, das Nutzer in ihre Auswahlentscheidung mit einfließen lassen sollten, und mehr wird vom BSI auch nicht behauptet.
In der Presse liest sich das allerdings anders, zumal die Berichterstattung diese Feinheiten zunehmend vernachlässigt hat. War etwa bei der Wirtschaftswoche noch von einem internen Gutachten die Regel, so fehlt dieser Hinweis zum Beispiel bei Spiegel Online. Dadurch wird aber der Eindruck eines offiziellen Gutachtens erweckt. Und mit Schlagzeilen wie “Bundesamt warnt vor BlackBerry” wird der Eindruck erweckt, dass die “Warnung” vor BlackBerry ein ähnliches Gewicht hat wie andere, laufend publizierte Warnungen des BSI, etwa zu neuen Viren. Schließlich ist eine laute, aktive Warnung etwas anderes als leise geäußerte Zweifel.
An den Missverständlichkeiten ist allerdings auch das BSI mitschuldig, das sich in eisernes Schweigen hüllt. Auf der Website findet man zum Thema BlackBerry nichts, und selbst auf Nachfrage bekommt man nur ein paar dürre Sätze offizielle Sprachregelung und nicht etwa die zunehmend geheimnisumwitterte Studie. Nun kann man sich fragen, ob eine mit Steuergeldern finanzierte Institution nicht ohnehin in der Pflicht sein sollte, für die Allgemeinheit wichtige Erkenntnisse zu veröffentlichen. Zumindest aber, wenn die Institution einen Markt so beeinflusst wie in diesem Fall, wären wohl ein paar klärende Worte angebracht.
Aber auch von RIM selbst würde man sich ein stärkeres Eingehen auf Kundenbedürfnisse wünschen. Sicherheit ist ein wichtiges Thema beim Einsatz von Mobile Mail, und der BlackBerry adressiert viele potenzielle Sicherheitsprobleme durchaus vorbildlich. Wenn jetzt aber Unternehmen in Deutschland besonders sensibel für Sicherheitsaspekte des NOC sind, dann wäre es zumindest sinnvoll, auf diese Bedenken einzugehen und sie nicht mit Verschwörungstheorien abzubügeln. So könnte das Netz von NOCs auf mehrere Länder ausgeweitet werden oder Unternehmen angeboten werden, selbst ein NOC zu betreiben. Das ist zwar für die Anwenderunternehmen teuer, weil technisch sehr komplex; es würde aber signalisieren, dass RIM die Bedenken ernst nimmt. Und die meisten Kunden würden RIM sicherlich ohnehin weiterhin vertrauen und es bei der aktuellen Lösung belassen, alleine schon aus Kostengründen.
Bedauerlich an der Diskussion ist besonders, dass sie das Thema Sicherheit von Mobile Mail auf einen einzigen Aspekt beschränkt. Dabei haben in den meisten Unternehmen andere Aspekte eine höhere Sicherheitsrelevanz als das NOC. So gehen z.B. Endgeräte verloren oder werden gestohlen, was eine Verschlüsselung der Inhalte auf dem Gerät wichtig macht, die aber nicht alle Anbieter gleichermaßen sicherstellen.
Anwenderunternehmen sollten sich deshalb von der derzeitigen Diskussion nicht verunsichern lassen. Wichtig ist vielmehr, wie auch der Berlecon-Report “Mobile Mail für Unternehmen” zeigt, ein Sicherheitskonzept für Mobile Mail aufzustellen, das alle wichtigen Aspekte umfasst, und sich dann bei der Auswahl und Nutzung der Lösung daran zu orientieren. Die Bedenken des BSI sollten dabei einer von vielen Punkten sein. Nicht mehr, aber auch nicht weniger.
