Entlang sicherer Routen
Neues Internet
Da das Internet ab Ende der 1970er-Jahre nicht für kritische Anwendungen verwendet wurde, spielte die Sicherheit damals keine Rolle. Heute sieht die Situation anders aus – das jetzige World Wide Web ist anfällig für Cyberangriffe. Eine Technik zur Datenübertragung namens Scion soll Abhilfe schaffen. Und nebenbei das Internet schneller und energieeffizienter machen.
Geheime Informationen waren schon immer eine begehrte Ware. Während man früher für deren Beschaffung Boten überfallen musste, reichen dafür heute fundierte Informatikkenntnisse. Denn die allermeisten Daten werden nicht mehr physisch übermittelt, sondern übers Internet. Mit verschiedenen Techniken gelingt es Hackern, sensible Informationen abzugreifen; oder sie nutzen verschiedene Methoden, um den Datentransfer zu unterbrechen. Entwickler unter Führung der ETH Zürich wollen dem etwas entgegensetzen. Seit nunmehr 14 Jahren arbeiten sie an einem neuen und sichereren Internet. Manche Unternehmen und Institutionen nutzen es bereits.
Angestossen hat das Ganze Adrian Perrig, Cyber-Security-Experte und Professor für Informatik an der ETH Zürich. Schon in den Anfängen der kommerziellen Phase des Word Wide Webs Ende der 1990er-Jahre sei ihm – wie vielen anderen Fachleuten auch – bewusst geworden, dass die Internetarchitektur erhebliche Sicherheitslücken aufweise, erzählt er. In den 1970er-Jahren hat sich das Internet aus akademischen Kreisen heraus entwickelt; die meisten Anwender kannten und vertrauten sich. Dass eine globale Vernetzung in ihrer heutigen Dimension entstehen könnte, war nur schwer vorstellbar. «Diese extreme Expansion des Internets hat zu etlichen Schwachstellen geführt, die es vielseitig angreifbar machen», sagt Perrig.
Ein reales Problem, weil sich im Internet viele tummeln, die offensichtlich Böses im Schilde führen: Wurden in den USA im Jahr 2010 noch rund 1,4 Millionen Cyberattacken gemeldet, waren es 2021 bereits 5,7 Millionen [1]. Ein Anstieg um 290%. Die Schweizer Polizei hat im Jahr 2022 mehr als 33'000 Straftaten im Bereich Cyberkriminalität registriert, wie die Onlineplattform Statista berichtet [2]. Und über das Jahr 2023 wurde hierzulande ein fast kontinuierlicher Anstieg der Vorfälle registriert, von anfangs etwas mehr als 500 Meldungen bis zu rund 1500 pro Woche im Oktober 2023. Damit hat die Internetkriminalität in der Schweiz einen Höchstwert erreicht.
Daten auf Abwegen
Eine beliebte Methode der Cyberkriminellen besteht darin, Daten auf eine falsche Route zu leiten, um sie abzuhören. Fachleute sprechen hier vom sogenannten BGP-Hijacking. BGP steht für Border Gateway Protokoll, es ist das Fundament des traditionellen «Internet-Navigationssystems». An jeder Kreuzung, den Routern, fungiert BGP als Wegweiser für die Datenpakete. Anders als Google-Maps wählt das Protokoll aber nicht die geografisch kürzeste Strecke. Stattdessen schickt es die Informationen häufig über weite Umwege zum Ziel, selbst wenn man Daten – etwa eine E-Mail – «nur» an den Nachbarn sendet. Das liegt insbesondere daran, dass die Web-Dienste, die wir nutzen, von Firmen bereitgestellt werden, die Datenserver auf der ganzen Welt verstreut haben.
Nutzer können daher kaum nachvollziehen, welche Routen – und Umwege – ihre Datenpakete einschlagen. Entsprechend schwierig ist es, den Informationsaustausch vor Hackern zu schützen, die die BGP-Wegweiser manipulieren. Zusätzlich kann es passieren, dass Daten wegen BGP-Fehlern unfreiwillig auf Abwege geraten – so wie etwa im Sommer 2019, als in einem Schweizer Rechenzentrum versehentlich über 70'000 Daten-Routen für mehrere Stunden über China führten [3]. Langsame oder nicht zustande kommende Mobilfunkverbindungen waren die Folge. «Das BGP ist über 35 Jahre alt und hat sich über die Jahre nur sehr limitiert weiterentwickelt», bemängelt Perrig.
Auch gegen sogenannte DDOS-Angriffe ist die jetzige Internetarchitektur anfällig. Dabei wird ein Server gezielt mit unzähligen Anfragen gleichzeitig bombardiert, damit er unter der Last zusammenbricht. Die prorussische Hackergruppe NoName057(16) nutzte im Januar 2024 diese Methode, um verschiedene Schweizer Internetseiten lahmzulegen – laut eigener Angabe als Reaktion auf die Ansprache des ukrainischen Präsidenten Wolodimir Selenski auf dem Weltwirtschaftsforum in Davos [4]. Gleiches war schon im Juni 2023 geschehen, nachdem Selenski per Videotelefon im Bundeshaus gesprochen hatte [5]. Im schlimmsten Fall können solche Attacken kritische Infrastrukturen ausschalten, etwa die Energieversorgung, und so eine Gesellschaft in die Knie zwingen.
Solche Bedrohungsszenarien und Cyber-Schwachstellen trieben den Informatiker Perrig um. Im Jahr 2009 als frischgebackener Professor an der Carnegie Mellon University in Pittsburgh wollte er es dann genau wissen: Gibt es vielleicht eine ganz andere, viel sicherere Internetarchitektur? Schon ein Jahr später konnten er und sein Team die Frage bejahen.
Unterwegs mit Autopilot
Sie nannten ihre Technologie «Scion», was für «Scalability, Control, and Isolation On Next-Generation Networks» steht. Damit kann der Nutzer den Weg auswählen, den seine Daten nehmen sollen: «Schon zum Zeitpunkt des Versendens enthält das Protokoll den genauen Pfad», erklärt Perrig und vergleicht seine Erfindung daher mit einem «Autopiloten», der keine Wegweiser braucht. Damit der Informationsaustausch auch sicherer wird, meidet der Routenplaner gefährliche Strecken – etwa solche durch Staaten, deren Datenschutzregeln man ablehnt, oder Regionen, die für Hackerangriffe bekannt sind.
Scion unterteilt dazu das globale Internet in regionale Subnetze, in die sogenannten Isolation-Domains (ISD). Solche ISDs können sich zum Beispiel an Ländergrenzen orientieren, aber auch beliebige Regionen miteinander verknüpfen. Die Idee dahinter ist, dass die Kommunikation innerhalb einer ISD unabhängig von externen Institutionen stattfinden kann. Die Betreiber der ISD erstellen dazu eine vertragliche oder sogar gesetzliche Vereinbarung, einen sogenannten Vertrauensanker. Jede Domain definiert diese selbstständig. Die Anwender können festlegen, welche anderen Anker ihren jeweiligen Sicherheitsansprüchen gerecht werden.
Zusätzlich einigen sich die Anwender, auf welchen Pfaden Informationen innerhalb einer ISD reisen. Der Datentransfer lässt sich autonom steuern, fremde Internetnutzer aus anderen Regionen können darauf keinen Einfluss nehmen – und ihn daher auch nicht blockieren oder ganz ausschalten. Scion beugt zudem Distributed-Denial-of-Service-Attacken vor, indem es die Angriffsfläche verringert. Zusätzlich helfen versteckte Pfade, eine Kommunikation selbst bei extrem grosser Anfragenlast zu garantieren. Laut Perrig ist ein öffentliches Scion-Netzwerk daher ähnlich sicher wie ein privates Netzwerk.
Schneller und umweltfreundlicher
Nebenbei erhöht sich die Geschwindigkeit der Datenübertragung. «Scion ist ein Multi-Pfad-System, das sich optimieren lässt», erklärt Perrig, «während das bisherige Internet ein Single-Pfad-System ohne Verbesserungsmöglichkeiten ist. Das Surfen kann daher um 10 bis 20 Prozent schneller werden.» Auch kann man eine bestimmte Bandbreite für besonders zeitkritische Anwendungen reservieren, etwa für Ultra-HD-Streaming-Angebote.
Erstaunlich ist, dass Scion – trotz erhöhter Sicherheit und Geschwindigkeit – nicht mehr Energie verbraucht als das bisherige Internet. Im Gegenteil: Berechnungen von Perrig und seinem Studenten Simon Scherrer legen nahe, dass Scion mit Erweiterungen knapp zehn Prozent des Internet-Energiebedarfs einsparen könnte. Ob sich das in der Realität bewahrheitet, ist aber noch unklar [6]. Sicher ist, dass sich in Scion die richtigen Anreize setzen liessen, klimafreundlicher zu werden: «Die Pfade können Informationen über die benutzte Energie beinhalten», erläutert Perrig. Somit liesse sich nachvollziehen, ob der Strom aus fossilen Brennstoffen oder aus erneuerbaren Energien stammt. Nutzer könnten also gezielt «umweltfreundliche Pfade» auswählen, auf denen der Datentransport einen kleineren CO2-Fussabdruck hinterlässt.
Schon im Einsatz
Scion kann die bestehenden Kommunikationsstrukturen nutzen, mit denen auch das traditionelle Internet funktioniert. Perrig betont jedoch: «Scion ist nicht über das bisherige Internet gelegt, kein Overlay, sondern es läuft quasi parallel dazu.»
Die Teilnahme funktioniert über einen oder mehrere Scion-Router, die dabei als Software auf handelsüblicher Server-Hardware laufen. Schliesslich lässt sich zum Beispiel eine Scion-Erweiterung für den Chrome-Browser installieren, der die herkömmlichen IP-Netzwerkpakete umschreibt und feststellt, ob eine Internetadresse über Scion erreichbar ist oder nicht.
Mehrere Schweizer Banken haben ihr Kommunikationsnetzwerk «Secure Swiss Finance Network», kurz SSFN, seit 2021 auf Scion aufgebaut. Ende September 2024 wird das SSFN das bisherige Kommunikationsnetzwerk Finance IPNet ablösen. Seit Anfang 2022 steht auch jedem ETH-Angehörigen die Netzwerkinfrastruktur Scion zur Verfügung. Sie können es nutzen, «für den Fall, dass sie Daten übermitteln müssen, für die besondere Anforderungen bestehen», teilte die Universität zur Einführung des neuen Internetsystems schriftlich mit [7]. Auch das grösste Telekomunternehmen der Schweiz, die Swisscom, bietet die Scion-Technologie für private und öffentliche Kunden an, die auf «ein hochsicheres Netz angewiesen sind, um sensible Daten über nationale oder internationale sichere Ökosysteme auszutauschen», wie es auf der Website heisst [8].
Einsatz in der Energiebranche initiiert
2023 hat darüber hinaus der Verband Schweizerischer Elektrizitätsunternehmen (VSE) die konzeptionelle Entwicklung eines sicheren Schweizer Energienetzes auf der Basis von Scion initiiert. Das ehrgeizige Ziel sei, schreibt Markus Riner, Head of Digitalization & IT bei VSE: «Wir wollen ein sicheres Netzwerk aufbauen, das den gesamten Schweizer Energiesektor vor zukünftigen Cyberangriffen schützt.»
Aus dem gleichen Grund beschäftigt sich auch Thomas Zinniker, CIO der BKW Energie AG, seit ein paar Jahren mit Scion. «Als Betreiber einer kritischen Infrastruktur ist die Cybersicherheit für uns natürlich ein sehr zentrales Thema.» Für Zinniker liegt der grosse Vorteil von Scion darin, dass man sich vom herkömmlichen Internet abkapseln, aber gleichzeitig alle Funktionen nutzen kann.
Es gibt in der Schweiz 650 unabhängige EVUs. «Und die müssen alle untereinander kommunizieren und sich abstimmen», erklärt Zinniker, der neben seiner Funktion bei der BKW auch Mitglied der wirtschaftlichen Landesversorgung ist. Eine wachsende Herausforderung dabei ist die zunehmend dezentrale Energieerzeugung – etwa durch PV-Anlagen auf Privathäusern oder Werksgebäuden. Um Überlastungen des Stromnetzes vorzubeugen, braucht es vernetzte digitale Steuerungsmöglichkeiten. Hinzu kommen die vielen neuen Module für die Heimanwendung wie Smart Meter, die auch ans Internet angeschlossen sind. «Dadurch steigt die Exposition im Internet massiv an», so der Fachmann. Gleichzeitig werden in der Branche viele elektronische Anlagen verwendet, etwa zur Regelung von Kraftwerken oder Umspannstationen, die einen viel längeren Lebenszyklus haben als klassische IT-Geräte. «Da sind Systeme im Einsatz, die teilweise 25 Jahre alt sind», sagt Zinniker. Das Problem: Alle die genannten Punkte sind potenzielle Einfalltore für Hacker.
Es gibt also genügend Gründe für ein Scion-Netzwerk der Energiebranche, in dem vertrauensvolle Kommunikation und sichere Vernetzung von modernen und alten Komponenten gewährleistet sind. Der VSE hat zu diesem Zweck eine Arbeitsgruppe ins Leben gerufen, der auch Zinniker angehört. «Es gibt bereits eine sichere Domäne, und manche Firmen nutzen Scion schon», berichtet er. Es könnte also sein, dass sich Schweizer Energieunternehmen künftig deutlich weniger Sorgen vor Hackerangriffen machen müssen.
Alles schön und gut, aber besteht eine realistische Chance, dass Scion die etablierten Internetstrukturen auch in anderen Ländern oder sogar weltweit ersetzen kann? Etliche Nachfragen bei Cybersicherheit-Experten laufen ins Leere. Das Potenzial von Scion möchte kaum jemand beurteilen – die Gründe dafür bleiben unklar. Einer, der schriftlich Auskunft gibt, ist Alexander Lawall, Professor für Cybersecurity an der IU Internationale Hochschule in Deutschland. Er lobt die Netzwerkarchitektur von Scion und die verschiedenen Sicherheitsvorteile, die sich daraus ergeben. Gleichzeitig betont er die Herausforderungen, die mit einer möglichen Einführung der Technik ausserhalb der Schweiz verbunden sind. Für ausgeschlossen hält er dies aber nicht: «Scion muss sich in einem globalen Umfeld bewähren und die Akzeptanz in verschiedenen Ländern gewinnen, was Zeit und Überzeugungsarbeit erfordert.» Perrig weiss das – und arbeitet daran: Man führe bereits Gespräche mit den bekannten grossen Technologiekonzernen. «Es kommt nun darauf an, wer davon als Erstes sagt: Okay wir bauen das ein.» Dann könnte alles sehr schnell gehen und das herkömmliche Internet könnte durch Scion abgelöst werden, glaubt er. Wie sich Scion global verbreiten wird, bleibt also eine spannende Frage.
ist Physiker und freier Wissenschaftsjournalist.
- Deschawi.de
DE-69221 Dossenheim
Kommentare