re:publica 15 / Googles Sicherheitschef im Interview: „Wir haben es mit Angreifern zu tun, die genauso fähig sind wie die NSA“

WIRED: Seit acht Jahren leiten Sie die Sicherheitsabteilung von Google und haben Sicherheitsrisiken im Blick. Waren die Snowden-Enthüllungen wirklich ein Schock für Sie, oder ahnten oder wussten sie schon früher von dem umfangreichen Überwachungsprogramm der NSA?
Eric Grosse: Die technischen Details, zu denen die NSA in der Lage war, haben mich nicht wirklich erstaunt. Es waren Dinge, die man sich vorstellen konnte, über die wir auch spekuliert hatten. Das Ausmaß, in dem die Maßnahmen angewandt und ausgeführt wurden, war aber schon überraschend für mich. Ich bin davon ausgegangen, dass sie bessere Möglichkeiten haben, um an Verbindungsdaten zu kommen, wenn sie nach einer Handvoll Menschen suchen – anstatt Internet-Traffic weltweit abzufangen und zu speichern. Mir war theoretisch klar, dass es möglich ist, aber es ist erstaunlich, dass sie soviel Aufwand betrieben haben. Sie hätten bei konkreten Fällen auch einfach genau angeben können, was und warum sie die Daten brauchen, sich die rechtliche Bewilligung holen und dann zu uns kommen können — das wäre günstiger und angemessen gewesen. Aber sie haben einen anderen Weg gewählt.

WIRED: Welche konkreten technischen Konsequenzen gab es bei Google Post-Snowden, inwieweit mussten Sicherheitslücken geschlossen werden?
Eric Grosse: Kaum. Wir müssen uns gegen viele Angreifer wappnen, die genauso fähig sind wie die NSA. Das einzige, um das wir uns kümmern mussten, war, dass wir auch die Verbindungen von Rechenzentrum zu Rechenzentrum verschlüsseln – wir waren schon dabei, wir haben es einfach nur schneller abgeschlossen, als wir es unter anderen Umständen getan hätten. Für mich ist der große Effekt der Snowden-Enthüllungen eher, dass jetzt jede andere Regierung weltweit genau dasselbe machen möchte. Wir haben ein Riesenproblem, weil jede Regierung nun in ähnlicher Weise auf Daten zugreifen will. Dieser Nebeneffekt ist aber eher ein politisches Thema als ein technisches.

WIRED: Inwieweit halten Sie Geheimdienste-Angriffe, auch anderer Länder, generell für ein Sicherheitsrisiko für Google?
Eric Grosse: Ich denke bei der NSA nicht an einen großen Player, der uns massiv im Visier hat. Es ist nicht außergewöhnlich, dass Geheimdienste Kabel anzapfen, deswegen haben wir soviel Aufwand in die breitere Anwendung von Verschlüsselung gesteckt. Ich habe aber kein Zeichen gesehen, dass die NSA versucht hat, in die Rechenzentren von Google einzubrechen. Darüber wurde falsch berichtet. Es gibt diese Wahrnehmung, dass die NSA einfach überall einbrechen kann und nehmen kann, was sie will, aber dafür gibt es keine Beweise. Was wir sehen ist, dass Geheimdienste es für Überwachung oder für Malware-Installation ausnutzen, wenn das Netzwerk – nicht das Google-Netzwerk, sondern die Verbindung vom Server-Front-End zum Browser – unverschlüsselt ist. Aber das ist keine Überraschung, auch Unternehmen oder Kriminelle tun dies. Selbst wenn man sich ein Katzenvideo mit Flash ansieht, könnten Angreifer sich bei Man-in-the-Middle-Attacken dazwischenschalten und versuchen, Anzeigen oder Malware auf dem Endgerät zu installieren. Deswegen ist Verschlüsselung wichtig.

WIRED: Sie beschreiben sich als jemanden, der Verschlüsselung seit Jahren “predigt”. War es nach Snowden einfacher, das im Konzern durchzusetzen?
Eric Grosse: Ja. Ich hatte zwar vorher auch nicht wirklich Probleme, aber der ganze Prozess wurde beschleunigt. Alle sagten auf einmal: Das ist jetzt unsere Top-Priorität. Seit kurzem wird SSL sogar bei YouTube eingesetzt – das ist ziemlich erstaunlich bei dem großen Traffic bei YouTube. Es ist schwierig für jeden anderen, zu argumentieren, dass sie sich die Verschlüsselung nicht leisten können, wenn YouTube es für Videos macht. Wenn man es für Videos einsetzen kann, kann man es auch für alles andere machen. Wir ermutigen Webmaster und Netzwerk-Entwickler Verschlüsselung einzusetzen, der Nutzer wird so geschützt, ohne dass er sich damit beschäftigen muss.

WIRED: Google entwickelt zur Zeit auch die Chrome-Erweiterung “End-to-End”, mit der Nutzer E-Mails mit OpenPGP signieren und verschlüsseln können  — wie ist der Stand der Dinge?
Grosse: Wir arbeiten an der Verschlüsselung bei Gmail, die Nachrichten direkt im Browser verschlüsselt. Die Vorabversion ist seit letztem Juni als Open Source erhältlich. Weitere Termine stehen derzeit noch nicht fest.

WIRED: Regierungskritikern in autoritären Regimes würden Sie aber eine Alternative empfehlen?
Grosse: Ich glaube, dass es für manche sinnvoll ist, eine andere Verschlüsselungsoption zu nutzen, wenn sie es brauchen. Bei so einer Ende-zu-Ende-Verschlüsselung sind Sender und Empfänger die einzigen, die die Schlüssel für die Verschlüsselung besitzen. Das hat viele operationale Auswirkungen. Falls einer der beiden den Schlüssel verliert, können sie nicht mehr miteinander kommunizieren und es ist für Normalverbraucher schwierig, das zu managen. Aber wenn du ein Dissident bist, dann machst du es eben. Bei der Ende-zu-Ende-Verschlüsselung entfallen auch Funktionalitäten wie automatischer Spamschutz aus der Cloud oder die Sprachübersetzung. Ende-zu-Ende-Verschlüsselung ist nicht das nächste große Ding. Die Verschlüsselung, mit denen wir alle Benutzer standardmäßig schützen, ist schon ziemlich gut. Und der Standarduser ist heute relativ sicher, er muss eher auf ganz klassische Computersicherheitsfragen achten – das Passwort nicht herauszugeben, nicht dieselben Passwörter überall nutzen, so dass sich Angreifer nicht so leicht Zugang zu verknüpften Diensten verschaffen können, wie beim Celebrity Photo Hack, in dem Hacker Nacktfotos im Netz gepostet haben.

WIRED: Welchen Cybercrime-Angriffen sind Nutzer vor allem ausgesetzt?
Grosse: Es kommt immer darauf an. Für kleine Firmen sind vermutlich irgendwelche osteuropäische Banden der größte Feind, die auf Ransomware setzen, die Daten oder Server kidnappen und Lösegeld fordern, oder sie dazu bringen, die Bankdaten herauszugeben. Auch Malware ist ein klassisches Problem, wie eine Watering Hole-Attacke, bei der Schadsoftware auf einer Webseite deponiert wird und die Kriminellen einfach abwarten, bis die Zielperson diese Seite besucht. Weil der Code nur bei bestimmten Personen aktiviert wird, sehen wir das Problem nicht, weil sie uns nicht den schlechten Code senden.

WIRED: Welche Bedrohung stellen internationale Spam-Netzwerke dar?
Grosse: Die Welt versucht das Problem seit vielen Jahren anzugehen. Viele Leute, mit denen ich gesprochen habe, sind zu Gmail gewechselt, weil wir einen ziemlich guten Spam-Schutz haben. Ich glaube, das ist ein interessantes Beispiel, weil es zeigt, welche Vorteile es bringen kann, Dinge in der Cloud zu tun. Spammer senden die Message an eine Million Menschen. Wenn die ersten 100 Leute das als Spam markieren, können wir die restliche Million davor schützen. Es ist ein großer Vorteil, manche Dinge in der Cloud zu zentralisieren. Ich glaube, was bei der Ende-zu-Ende-Verschlüsselung eine Riesenherausforderung ist: jede verschlüsselte Nachricht sieht anders aus. Falls der Sender ein Spammer ist, der dem Empfänger Spam-Nachrichten schickt, gibt es keine Chance für den Mailprovider in der Mitte, diesen Spam zu stoppen. Ende-zu-Ende-Verbreitung wirklich zu etablieren, ist schwierig. Da braucht es noch viel Entwicklungsarbeit, um es für den Durchschnittsnutzer anwendbar zu machen.

WIRED: Wo würden Sie die besten Hacker auf der globalen Cybercrime-Landkarte verorten?
Grosse: Wir müssten eher überlegen, welche Länder nicht involviert sind. Wir haben schon über NSA, GCHQ, die Five-Eyes gesprochen, und andere assoziierte Organisationen, mit denen Informationen ausgetauscht werden, wie Israel. Aber Angreifer kommen auch aus China, Russland, Iran, Syrien – es ist eine Liste, die nicht endet. Auch in Nigeria gibt es viele Hackeraktivitäten. In manchen Ländern sind die Grenzen außerdem fließend zwischen Hackern, die für Geheimdienste arbeiten, und unabhängigen Hackern. Manche gehen nach ihrem Dienst in einer Sicherheitsbehörde abends nach Hause und hacken für sich oder im Auftrag für andere.

WIRED: Wo sehen sie für Google noch Cybersecurity-Herausforderungen, was muss dringend angegangen werden?
Grosse: Ich würde nie sagen, dass wir fertig sind. Aber mir fällt gerade nichts Spezielles ein, keine Riesen-Schwachstelle. Ich wünsche mir natürlich immer, dass wir Angreifer noch schneller entdecken und auch unsere Strategien weiterentwickeln, um potentielle Insider-Attacken zu erkennen. Und Sicherheit bleibt grundsätzlich ein Wettrüsten, bei dem smarte Menschen gegen smarte Menschen antreten.

WIRED: Nach acht Jahren wollen Sie die Leitung des Sicherheitsteams in Kürze abgeben. Was haben Sie vor?
Grosse: Ich habe es vermisst, selbst zu coden, deswegen möchte ich die ganze Organisation an jemand anderen übergeben und wieder mehr an Projekten wie Open-Source-Systemen arbeiten und Software und Hardware robuster gegen Angreifer machen. Hardware-Hacks kommen vor, wenn jemand in der Lieferkette ein Gerät kompromittiert. Wie wir so etwas verhindern können, ist ein Bereich, in dem bisher noch nicht genug getan wurde und wir versuchen das anzugehen. Ich habe das Google Sicherheitsteam jetzt acht Jahre lang geleitet und freue mich auf eine Abwechslung – und meine Frau freut sich schon, wieder mehr von mir zu sehen.