SaSER, SeSaM, die Bundesregierung und das Internet

Wow. Da tut sich was.

An mindestens drei Stellen (Danke an die Leser für die vielen Hinweise, originär Wirtschaftswoche, und in Folge davon Gulli und Golem) wird darüber berichtet, daß die Bundesregierung „heimlich” bereits an zwei großen Sicherheitssystemen arbeiten läßt (nein, nicht Datotal und Date-Control, für die, die wissen, worauf ich anspiele) sondern SaSER und SeSaM. Hört sich beknackt an, ist es aber nicht.

SeSaM soll für „Secure and Safe Microkernel Made in Germany” stehen (Oh, was ne Scheiß-Bezeichnung, wer denkt sich sowas aus?) und einen an der TU Dresden entwickelten Microkernel bezeichnen, der – je nachdem wie man die ziemlich informationslos spekulierenden Artikel interpretiert – mal als sicheres Betriebssystem, mal als Virtualisierungslösung eingestuft wird und letztlich dazu dienen soll, um Windows eine sichere Schale zu packen, um dessen Außenkommunikation zu kontrollieren und dessen Zugriffe zu schützen. Also quasi das an Sicherheit bringen, was Microsoft nicht bringen kann, will oder darf.

Saser soll für „Secure and Safe European Routing” stehen (Oh, was ne Scheiß-Bezeichnung, wer denkt sich sowas aus?) und einen von einem europäischen Konsortium entwickelten oder zu entwickelnden Internet-Router bezeichnen, der frei von außereuropäischen Hintertüren sei und gegen Hackerattacken schützt. Also quasi das an Sicherheit bringen, was Cisco nicht bringen kann, will oder darf.

Wow! Das ist ein großer Schritt in die richtige Richtung. Hätte ich denen gar nicht zugetraut. Kürzlich habe ich ja noch geschrieben, daß es bei unserer Sicherheitspolitik genau an diesen Stellen fehlt, daß wir immer nur als Konsumenten auftreten, die herummäkeln, aber nicht als Macher.

Sichere Router und sichere Betriebssystemschalen würde ich tatsächlich für die wichtigsten kurz- bis mittelfristigen Sicherheits-Maßnahmen halten. Das an sich reicht zwar noch lange nicht, aber es ist ein großer und richtiger Schritt in die richtige Richtung, das ist etwas, was wirklich fehlt. Ausreichend ist es freilich nicht, da fehlt noch allerhand bis zur Sicherheit, wie etwa sichere Programmiersprachen, sichere Prozessoren, in Europa verfügbare Quelltexte, und vor allem eine Trennung zwischen dem Allerwelts-Internet und den betriebs- und bestandskritischen Netzwerken. Aber das muß ich wirklich sagen, das liest sich auf den ersten Blick gut. Sowas würden wir brauchen, sowas würde viel helfen.

Allein, mir fehlt der Glaube, daß da wirklich was draus wird. Ich habe da große Befürchtungen, aber an anderer Stelle:

• Wer sich solche Namen ausdenkt, macht auf mich keinen technisch kompetenten Eindruck, sondern den einer Beamtenseele. Bezeichnungen sollten immer das beschreiben, was das System ist, nicht was man haben will, schon gar nicht so nichtssagend allgemein und pauschal. Als würde man zum ersten Mal auf der Welt Sicherheit als Betriebssystemeigenschaft entwickeln. Sowas ist immer verdächtig. Und eine Virtualisierungsschale bringt was für Security, aber nicht für Safety. Und dann dieses dämliche „Made in Germany”. Nachdem wir in diesem Bereich bisher nicht viel geleistet haben, ist das keine Auszeichnung. Aber eben so ein typischer Drittmittel-Beantragungs-Kitzler.

  Das hört sich nicht wie eine Bezeichnung für Techniker an, sondern ganz penetrant wie so ein typisch deutscher Drittmittel-Antrags-Titel mit ganz schrecklichem Hau-Ruck-Akronym, was auch dem doofsten Beamten noch einhämmern soll, daß das was Tolles und Wichtiges und was überhaupt ist. Es ist das, was deutsche Wissenschaftler mit deutschen Ministerialbeamten verbindet – die große Liebe zu grausigen Akronymen. Insofern darf man die Bezeichnungen nicht allzu ernst nehmen. Die Projekte aber auch nicht.

  Denn bei welchem von einer Universität beantragten Drittmittelprojekt wäre jemals etwas Vernünftiges und Brauchbares herausgekommen? Wir wissen doch, wie das läuft, da werden dann die Gelder wieder für irgendwelche Dienstreisen und Mitarbeiter und Anschaffungen und auch ganz fremde Zwecke verpfriemelt, wie das an Universitäten eben so läuft. Was die sich da vornehmen ist anspruchsvoll. Und nach meiner Einschätzung gibt es an deutschen Universitäten bei weitem nicht genug befähigte Leute, die sowas in brauchbarer Qualität durchziehen und nicht nur pro Forma Erfolge für den Folgeantrag verkünden. Da sind einfach die Erfahrungen mit IT-Projekten an Universitäten zu schlecht. Wer an einer typischen Universität soll denn das überhaupt entwickeln? Erfahrungsgemäß wird daraus wieder so ein planloses Flickwerk aus Diplomarbeiten und Dissertationen, die nicht zusammenpassen, wie schon damals beim Karlsruher ROSy (Research Operating System) oder der Programmiersprache Scala. Gerade kürzlich erst hatte ich in einer Buchkritik ein Buch betrachtet, das sich genau mit der Problematik befaßt, daß es an den Universitäten keine attraktiven und langfristigen Mitarbeiterstellen mehr gibt. Unsere Universitäten sind einfach der völlig falsche Ort, um so etwas zu entwickeln. Das müßten sie zwar sein, sie sind es aber nicht.

  Und Universitäten und deren Forscher sind notorische Hochstapler, weil die immer möglichst viel behaupten und publizieren müssen. Wenn die behaupten, sie haben etwas entwickelt, ist das gar zu oft bestenfalls ein Labor-Proof-of-Concept.

  Das Fatale daran ist, daß die damit natürlich schon das Quasi-Monopol haben, weil die Bundesregierung natürlich nur eine Arbeitsgruppe fördern und beachten wird. Wenn die das verbocken, richten die mehr Schaden an, als sie nutzen können. Ich halte es für sehr riskant, so etwas einer deutschen Universität anzuvertrauen. Das hat in Informatik noch nie funktioniert.

• Im Golem-Artikel wird noch etwas mehr erwähnt, die haben noch tiefer gegraben. Laut Golem sind auch EADS und Fraunhofer daran beteiligt.

  Zu EADS darf ich aus beruflichen Gründen nicht viel sagen, weil ich die nur aus einem Zusammenhang kenne, ich war für EADS beim Aufbau des Tetra-Behördenfunknetzes tätig, und bin entsprechend zur Geheimhaltung verpflichtet. Aber Anlaß zu übermäßiger Euphorie habe ich nicht.

  Und von Fraunhofer halte ich gar nichts. Außer Abstand. Natürlich gibt’s bei denen auch Unterschiede und unterschiedliche Institute, und ich überblicke auch nicht alles, aber so wie ich die bisher in IT-Sicherheit erlebt habe, halte ich die für einen verlogenen korrupten Sauhaufen. Und diverse Professoren haben mir gegenüber ihre Einschätzung von Fraunhofer mitgeteilt, daß die eine großindustrielle Drittmittelabgreifmaschine sind, die ziemlich hemmungslos das Blaue vom Himmel versprechen, um sich bei Forschungsgeldern zu bedienen.

• Auch die Sache mit dem Router halte ich für eine sehr gute Idee, aber auch da sehe ich Probleme an den Teilnehmern. Mit der Deutschen Telekom und deren T-Systems habe ich im Laufe meines Berufslebens häufig zu tun gehabt – und fast nur schlechte bis sehr schlechte Erfahrungen gemacht.

  Zu Alcatel-Lucent und Adva Optical kann ich nichts sagen, die kenne ich nicht.

  Der einzige Beteiligte, zu dem mir da was Positives einfällt, ist Nokia Siemens Networks. Mit denen hatte ich bei der TKG-Sache häufig zu tun, und die haben da wirklich gute und zuverlässige Arbeit geleistet. Und die wissen auch, wie man Netzwerkequipment baut. Die sind durchaus in der Lage, Router zu bauen, das können die. Ich habe auch selbst jahrelang Nokia Firewalls verbaut und war mit denen grundsätzlich sehr zufrieden (weiß aber nicht, wieviel das mit Nokia Siemens Networks zu tun hat). Im Handy-Bereich haben die aber ein ziemliches Debakel und Führungsdurcheinander hingelegt.

  Generell ist der Vorteil hier aber, daß für einen sicheren Router im ersten Schritt gar nicht mal so viel zu entwickeln ist, sondern zunächst mal nur ein gewöhnlicher Router ohne Hintertüren und Sicherheitslücken. Vieles dafür dürften die schon auf Lager haben.

• Und eine andere Berufserfahrung aus inzwischen rund 15 Jahren ist, daß das mit den Konsortien fast nie gut läuft.

Also grundsätzlich muß ich sagen, daß ich den Ansatz, ein sicheres Betriebssystem oder zunächst mal eine sichere Schale für Windows und vertrauenswürdige Router zu entwickeln, für einen sehr guten und tauglichen Ansatz halte. Das ist ein sehr guter Schritt. Freilich kann es dabei nicht bleiben, mittelfristig muß das zu einem eigenen Betriebssystem ausgebaut und Windows komplett eliminiert werden. Und die Netzwerkstruktur selbst muß geändert werden, ein paar Router reichen da nicht.

Und auch die technische Herangehensweise, dies mit einem Microkernel zu machen, halte ich für die einzig richtige. Schon lange kritisiere ich an Linux, daß es ein undurchschaubarer Moloch geworden und nicht mehr sicher zu halten ist. Wir brauchen ganz dringend ein europäisches Microkernel-Betriebssystem.

Und damit gehen wir dann – endlich! – auch mal einen Schritt in Richtung Unabhängigkeit von außereuropäischem Ausland, was Infrastruktur angeht. Endlich ist mal Schluß mit diesem blinden Vertrauen gegenüber Firmen wie Microsoft oder Cisco.

Das alles hätte schon vor 15 bis 20 Jahren in Angriff genommen werden müssen, aber besser spät als nie.

So weit, so gut.

Ich hege aber – wie beschrieben – Mißtrauen gegen die beteiligten Player, besonders gegen die Universität und gegen Fraunhofer. Ich habe so die Befürchtung, daß Ziel und Ergebnis dieses Projekts – wie fast immer – nur Drittmittel, Papers, Diplomarbeiten, Dissertationen, aber keine brauchbaren und tauglichen Ergebnisse sind.

Und eine zweite Befürchtung ist, daß unsere Bundesregierung es wieder mal dabei und dem abzusehenden Eigenlob beläßt. Ich glaube nicht, daß die einsehen und begreifen, daß da noch mehr kommen muß, wie eben die Entwicklung von Prozessoren, Betriebssystemen, Netzwerkprotokollen, neue Internetstrukturen, und daß vor allem der Gesetzgeber selbst noch seine Hausaufgaben machen muß. Dazu gehören unter anderem Änderungen am Patentrecht und die Pflicht zur Dokumentation für Hardwarehersteller, um nur zweie davon zu nennen. Ich warte ja nur drauf, daß die eine Bauchlandung hinlegen, weil das alles schon mit Patenten zugepflastert ist.

Und eine dritte Befürchtung ist, daß man – wir hören ja gerade wieder das Getöse der CDU zur stärkeren Netzwerkkontrolle gegen böse Inhalte – in diese Router (und eventuell auch die Betriebssystemschalen) Filtersysteme einbaut (was man nicht vermeiden kann, denn für die Sicherheit braucht man die durchaus in der einen oder anderen Weise), die man dann zur Zensur mißbrauchen könnte.

Ich habe so ein Grummeln im Bauch, das mir sagt, daß das letztlich auf gut gewollt, aber schlecht gemacht hinauslaufen wird. Oder falls es etwas wird, es sowas wie die SINA-Box wird, die ein sehr begrenztes Nischendasein fristet, und der man in der letzten Firma, in der ich war, jeden Tag einen Tritt geben mußte, weil sie nicht länger als einen Tag stabil war und sich regelmäßig aufhängte, also letztlich und allgemein gesehen kaum einen Sicherheitsfortschritt gebracht hat, weil sie kaum jemand einsetzt.