Heartbleed und die IT-Industrie von Thomas Seidel

Genug ist genug!

Die neueste und, da sind sich alle einig, gravierendste Sicherheitslücke im Internet und allen dazu gehörenden Anwendungen, seit April unter der Bezeichnung "Heartbleed" bekannt, ist der schlimmste Fehler der IT-Industrie. Was immer und von wem auch immer bislang als sicher vorgefaselt wurde, Heartbleed zeigt deutlich und schonungslos, dass alle, wirklich alle Beteiligten dieser Branche nichts weiter sind als unprofessionelle Scharlatane, deren ach so fachliches Wissen zum Teil von Kindern ausgetrickst werden kann. 

Schon immer hat die IT-Industrie nichts weiter als Halbfertigprodukte hergestellt und verkauft. Das ist ihr Geschäftsmodell für den schnellen Umsatz. Irgendwelche Hardware kann nur mit einer Software überhaupt betrieben werden. In schnellen Produktionszyklen bedingt weiter entwickelte Hardware dann automatisch eine neue Software und weiterentwickelte Software bedingt wiederum die Anschaffung von neuer Hardware und so hangeln sich diese Zyklen gegenseitig immer weiter und machen dem Nutzer die Notwendigkeit von ständigen Neuanschaffungen vor. Das generiert laufend Umsatz. Dabei wird besonders bei der Software so schlampig und oberflächlich gearbeitet, dass für erworbene Lizenzen ständig sogenannte Updates geliefert werden müssen, die die anfänglich nur schlecht funktionierenden Anwendungen nach und nach erst richtig betreibbar machen. Der Nutzer wird zum Tester, so sparen sich die Entwicklungsabteilungen in den Softwarehäusern aufwendige und  kostspielige Produkttest, wie sie in allen anderen Branchen, etwa dem Maschinenbau, der Autoindustrie ganz zu schweigen der Pharmaindustrie und selbst bei den Spielzeugherstellern unumgänglich sind. Bislang hat es wohl funktioniert, die Kunden haben es klaglos über sich ergehen lassen, jagen sogar immer neuen Versionen wie nicht gescheit hinterher, ohne aber den genauen Nutzen für sich selbst  wirklich benennen zu können. 

Ein Beispiel: Das Textprogramm eines weltbekannten Herstellers von Office-Software bietet zweifellos eine Menge Funktionen an, die die Tätigkeiten ganzer alter Berufe zusammenfassen: Texter, Setzer, Layouter, Drucker usw. Dafür ist regelmäßig ein mindestens dreistelliger Eurobetrag für eine Lizenz auf den Tisch zu legen. Freilich arbeiten weder die Privatanwender, noch gewerbliche Nutzer in der Regel auch nur mit einem Fünftel der angebotenen und bezahlten Anwendungen, schon weil die meisten diese Funktionen auch gar nicht verstehen, denn sie sind ja keine ausgebildeten Texter, Setzer, Layouter und Drucker. Das lässt sich leicht auf nahezu alle anderen Softwareprogramme übertragen und gilt selbst für den heute gängigen mobilen Telefonbetrieb.

Aber es geht weiter. Natürlich sollten Produkte, insbesondere für den Nutzer in seiner rechtlichen Gestalt als Verbraucher, besonders sicher sein. Das große Thema der Sicherheit in der IT-Industrie ist aber nicht unbedingt, wenngleich auch mitunter, die Frage ob das ein oder andere Gerät vielleicht in der Tasche ex- oder implodiert. Das große Thema der Sicherheit ist vielmehr der Umgang mit allen Daten die durch die Anwendung von Hard- und Software nun einmal so fließen. Das ist aber nicht nur eine Frage der Sicherheit, es ist auch eine Frage des Rechts.

Besonders in Deutschland gibt es ein vom Grundgesetz verbrieftes Recht auf ein unverletzliches Brief- Post- und Fernmeldegeheimnis. Das Verfassungsgericht hat sogar ein Recht auf informelle Selbstbestimmung kreiert. Geschert wird sich aber offenbar darum überhaupt nicht. Der Staat, dessen eine zentrale Aufgabe es ist den Bestand und die Wirksamkeit dieser Rechte sicher zu stellen, hat vor den Verstößen der IT-Industrie längst kapituliert. Es fehlt aber in der modernen Gesellschaft für diese Problematik mittlerweile jedwede Unrechtskultur. Man zuckt nur mit den Schultern, stöhnt vielleicht ein bisschen verzweifelt darüber, dass man schon wieder einige Updates machen, vor allem aber die gerade geläufigen Passwörter ändern muss und schon wird wieder zur Tagesordnung übergegangen. Es hat so ein bisschen was von den ständigen, die Verbraucher heimsuchenden, Lebensmittelskandalen an sich. Taucht so einer auf, wird das betroffenen Lebensmittel halt mal eine zeitlang nicht gefressen und nach ein paar Woche kräht kein Hahn mehr danach. Diese Vergessenskultur  des Falschen macht es den kriminellen Ausbeutern der Situation umso leichter, sich auf Kosten des Normalverbrauchers gütig zu tun.

Ja, Heartbleed ist der bislang schlimmste Fehler der IT-Industrie. Zugleich muss es aber auch der Dolchstoß für die IT-Industrie, das Internet und die gesamte Nutzergemeinde sein, zumindest für die Art und Weise wie sie bis heute betrieben wird. Für alle anderen möglichen Produkthersteller gibt es umfangreiche Vorschriften und Zulassungsverfahren, an die sie sich penibel zu halten haben und deren Einhaltung intensiv von behördlicher Seite überwacht wird; jedenfalls einmal von der Lebensmittelindustrie abgesehen. Etwas vergleichbares für IT und Internet gibt es nicht. Da darf sich aber der Staat nicht damit entschuldigen, dass es sich dabei um ein globales Problem handelt und ergo auch nur globale Lösungen in Frage kämen, die aber so oder so nicht kommen werden. Da dürfen sich Politiker beim Abstand nehmen von dieser Problematik nicht dadurch heraus reden, wie viele neue Arbeitsplätze doch gerade durch die IT-Industrie in den letzten Jahren entstanden sind und damit wenigstens einen Teil, alter absterbender Berufe ersetzt habe. Ein Argument das sowieso schon deshalb nicht stimmt, weil viele alte Tätigkeiten gerade durch das Wirken der IT-Industrie erst vernichtet wurden.

Doch letztlich sind auch Politiker nur ausführende Funktionäre. Wenn etwas geändert werden soll, dann muss der Souverän verlangen, dass es geändert wird. Die Voraussetzung dafür wäre eine radikale Bewusstseinsänderung im Umgang mit der Sicherheit in der IT-Industrie. Besonders in der deutschen Gesellschaft finden sich immer wieder viele Menschen, die bereit sind schwere Unannehmlichkeiten für  ihre Ansichten auf sich zu nehmen, sei es wenn es gilt Atomtransporte zu behindern, sei es, um gegen den Umbau ganzer Bahnhöfe und anderer Infrastrukturprojekte zu demonstrieren. Aber wirklich für den Erhalt verfassungsgarantierter Rechte einzutreten ist, zumindest bislang, noch nicht richtig an die Oberfläche des Bewusstseins der Einzelnen vorgedrungen. Wenn man aus Heartbleed überhaupt einen Nutzen ziehen könnte, dann sollte es der sein mit allen Mitteln für eine gesetzliche Änderungen im Verhalten der IT-Industrie einzutreten. Vergessen sollte man nie, wie viele Menschen in früheren Generationen und vor noch gar nicht allzu langer Zeit ihr Leben für die Garantien von freien und geschützten Informatione gelassen haben, bis dies endlich einmal verbriefte Rechte wurden. Gedenken wir in diesem Zusammenhang den berühmten Geschwistern Scholl, deren Schicksal im Kampf gegen ein totalitäres Regime auch mit dem Umgang von Informationen zu tun hatte!