[Sg-presse] Presse / ÖA - Gemalto / Cyberangriffe / Geheimdienste -> Wie wollen wir weiter damit umgehen?

[Anita Möllering <anita.moellering@piratenpartei.de>]

Hallo zusammen

in der Redaktionssitzung der Presse/ÖA am Montag hatten wir noch mal festgehalten, ob wir weitergehend etwas zu Gemalto und Konsequenzen / Folgen machen.

**************************

Notiz aus der Redaktionssitzung:

* PM/Statement 1 (?): SIM-Gate, eGK, ePerso

** Frage an Fraktionen: könnt ihr nachfragen, ob/welche Verträge mit zB Vodafone oder anderen Kunden von Gemalto bestehen? Und wie gedenken die Länder damit umzugehen? Werden die Karten ausgetauscht? Wer bezahlt das? Und wenn nicht: wie wollen die Länder sicherstellen, dass die Gespräche ihrer Mitarbeiter nicht abgehört werden?

NRW: kümmert sich

pad für Fragen

https://sgpresse.piratenpad.de/2015-02-23-datenschutz

****************************

Ich habe mir die Sachen bzw. den Themenkomplex jetzt mal näher angeschaut.

Aktueller Sachstand:

a/ SIM-Gate, Gemalto, SIM-Karten

Laut Intercept und von Snowden geleakten Präsentationsfolien soll es einen Hack der NSA/GCHQ bei Gemalto gegeben haben, in dessen Zuge die Schlüssel für SIM-Karten gestohlen worden sein.

* Sachstand: Ausgehend davon, dass es nur diese eine sehr interpretationsoffene Folie gab (also die https://firstlook.org/theintercept/document/2015/02/19/cne-access-core-mobile-networks-2/), stellt sich der Sachstand aber wie folgt dar:

* Die Folie ist sehr interpretierbar. So als Präsentationsfolie aus dem Kontext gerissen könnte sie auch nur Planungen oder Wünsche beschreiben. Bzgl. Gemalto. Da steht, dass sie da irgendwas verwanzt haben / oder irgendwo rein sind, aber nicht mehr. Auch lässt sich das, was am Anfang der Folie steht, nicht unbedingt auf das, was über Gemalto am Ende gesagt wird, beziehen.

* Gemalto hat einen Hack inzwischen zugegeben, aber „nur auf das Büro-Netz“, und nur „möglicherweise NSA & GCHQ“ waren (das sieht man so nem Hack ja nicht an, wer ihn gemacht hat)

* Eine weitere Folie (https://firstlook.org/theintercept/document/2015/02/19/dapino-gamma-gemalto-yuaawaa-wiki/) belegt, dass Gemalto-Mitarbeiter von der NSA gezielt ausspioniert wurden.

* Unter strengen (journalistischen) Kriterien muss die Behauptung von Intercept erst einmal als Spekulation betrachtet werden. Das einzige, was sich sicher sagen lässt, dass die NSA irgendwas bei Gemalto gewerkelt hat und da herumgeschnüffelt hat.

* Hypotetisch - Folgen: Sollte dieses Ereignis aber stattgefunden haben, wären die Konsequenzen fatal. SIM-Karten und Schlüssel sind das Fundament der mobilen Kommunikation. Es wäre dann wirklich nichts mehr sicher. Geheimdienste könnten alles unentdeckt und ohne richterliche Beschlüsse abschnorcheln, sogar Informationen manipulieren. Sie wären auch nicht greifbar, da sie keine Spuren hinterlassen

* Mögliche politische Aktionen & Reaktionen von uns:

** Am vergangenen Freitag wurde Uli König schon zum Hack zitiert, was schon mal sehr gut war: http://www.moz.de/artikel-ansicht/dg/0/1/1369573/ (Austausch SIM-Karten)

** Am Mittwoch dann auch noch mal nach den Äußerungen von Gemalto: http://www.stuttgarter-zeitung.de/inhalt.sim-karten-gemalto-kein-code-diebstahl.b8c5b496-c8ca-4054-9aac-dda96f646890.html (Verbindliche Ende-zu-Ende-Verschlüsselung in Telekommunikation)

** Da alles sehr hypothetisch ist, ist die Frage, ob die Regierung bzw. die Regierungskoalitionen sich hier überhaupt zu irgendwas bewegen lassen. Was ich allerdings recht erschreckend fand, sind Äußerungen des BMI, die quasi ein Schulterzucken sind: "Der Umfang des Zugangs von Nachrichtendiensten zu Verschlüsselungscodes von SIM-Karten stellt zwar eine neue Qualität der Arbeit von Nachrichtendiensten dar, jedoch untermauert er nur die Befürchtungen zur Sicherheit der normalen Mobilfunkkommunikation.“ Vgl http://www.bundesregierung.de/Content/DE/Mitschrift/Pressekonferenzen/2015/02/2015-02-23-regpk.html

** Grüne wollen das Thema bei einer der kommenden NSAUA-Sitzungen auf die TO setzen. Laut @joernPL (Büro von Notz) wird es da noch interessante Dinge geben; auf Unternehmensbeschwichtigungen solle man nicht so viel geben. Vgl.: http://gruen-digital.de/2015/02/sitzung-des-parlamentarischen-untersuchungsausschusses-am-26-02-2015/

=> Gibt es von Eurer Seite noch Vorschläge, wie wir uns zum jetzigen Zeitpunkt verhalten sollten? (also dafür, dass es ja hier auch um Schaden an der „deutschen Wirtschaft“ und dem „deutschen Verbraucher“ geht, verhält sich die Bundesregierung eindeutig zu still. Auch ist die Frage, ob eigentlich schon alle potentiell betroffenen Kunden von Gemalto in Deutschland reagiert haben)

Hier wäre auf jeden Fall ein Pad: 

https://sgpresse.piratenpad.de/2015-02-23-datenschutz

Aktuell zweifeln Sicherheitsexperten die Darstellungen von Gemalto an:

http://www.heise.de/security/meldung/SIM-Karten-Affaere-Auch-3G-Netze-nicht-vor-Spionage-sicher-2560250.html

b/ eGK

Die AOK soll wohl Kunde bei Gemalto sein. Haben die eigentlich schon reagiert?

-> Wäre sicher interessanter Ansatzpunkt. Ich setze deshalb auch mal Wolf Trenner von der AG Gesundheit mit rein.

c/ ePerso und andere hoheitliche Dokumente

Bundesregierung ist bei hoheitlichen Dokumenten kein Kunde der Gemalto

Chips von Infineon und nxp. Beschlüsselung durch Bundesdruckerei: https://www.bsi.bund.de/DE/Themen/ZertifizierungundAnerkennung/ZertifizierungnachCCundITSEC/ZertifizierteProdukte/Hoheitliche_Dokumente/Hoheitliche_Dokumente_node.html

-> Also hier müsste ein Angriff auf die Bundesdruckerei stattfinden bzw. man könnte fragen, ob die Bundesregierung sich gegen Angriffe auf BUndesdruckerei und ähnliches gewappnet sieht. Anderes sehe ich hier erstmal nicht. Oder wie sieht es bei euch aus?

d/ Cyberangriffe und aktuelle Debatte um IT-Sicherheitsgesetz

Ganz grundsätzlich: Derzeit wird an einem IT-Sicherheitsgesetz gearbeitet, dass genau den Schutz vor solchen Angriffen verbessern soll. Ist das überhaupt der richtige Weg? Was denken wir überhaupt ist zu tun, um Cyberangriffen zu begegnen? Ist ja vor allem in Blick auf kritische Infrastrukturen durchaus ein Problem.

Hier ein Pad dazu mit mehr Informationen, die ich da schon mal gesammelt habe (wird langfristig sicher wieder nen Arguliner):

https://schublade.piratenpad.de/Cebit-Cyber-Kriminalitaet

Nun denn, wer konkrete Ideen und Vorschläge hat, was wir ad hoc zu dem Thema noch machen können, gerne her damit.

LG, Anita

Anita Möllering

Bundespressesprecherin 
Piratenpartei Deutschland 

Pflugstr. 9a
10115 Berlin

anita.moellering@piratenpartei.de
Tel. 030 60 98 97 510
Mobil. 0176 / 84 28 90 11

Die Piratenpartei Deutschland (PIRATEN) beschäftigt sich mit den
entscheidenden Themen des 21. Jahrhunderts.
Das Recht auf Privatsphäre, eine transparente Verwaltung, eine
Modernisierung des Urheberrechtes,
freie Kultur, freies Wissen und freie Kommunikation sind die
grundlegenden Ziele der PIRATEN.

Attachment: signature.asc
Description: Message signed with OpenPGP using GPGMail