5G, Huawei und die Sicherheit unserer Kommunikationsnetze

Die Sorge vor Spionage

In der Debatte um Huawei wird immer wie­der die Sorge laut, das Unternehmen könn­te in seinen 5G-Produkten backdoors ein­richten, also technische Hintertüren, die chinesischen Sicherheitsbehörden einen Zugriff auf Daten erlauben würden.

Die Rede von backdoors ist in diesem Fall allerdings irreführend. Bei Netzwerktechno­logie handelt es sich um komplexe techni­sche Systeme. Alle Anbieter in diesem Be­reich konfigurieren ihre Produkte daher so, dass eine Fernwartung möglich ist. Die ent­scheidende Frage ist somit nicht, ob ein solcher Zugang besteht, sondern ob er über die Fernwartung hinaus auch für Spionagezwecke genutzt werden kann.

Es ist schwer vorstellbar, dass auf diese Weise unbemerkt alle Daten, die über ein Netz laufen, an Unbefugte weitergeleitet werden könnten. Das entsprechende Daten­volumen wäre enorm und entsprechend auffällig. Plausibler ist das Risiko, dass über den Fernwartungszugang Daten gezielt etwa nach Datentyp, Absender oder Empfänger gefiltert werden; die entsprechenden Daten­mengen würden in großen Netzwerken wahrscheinlich keine Aufmerksamkeit er­regen. Auf diese Weise ließe sich tatsächlich politische oder wirtschaftlich motivierte Spionage betreiben. In der Tat war es die Sorge vor ebendieser Art von Spionage, die die Bundesregierung nach den Snowden-Enthüllungen dazu gebracht hat, im Netz der Regierung und des Bundestags nicht länger Produkte des US-Unterneh­mens Verizon zu verwenden.

Um festzustellen, ob Netzwerkprodukte für diese Art von gezielter Spionage genutzt werden, gibt es zwei Ansätze, die jedoch beide nur begrenzte Aussagekraft haben. Zum einen prüft das BSI schon seit länge­rem den Programmcode der Produkte von Firmen wie Huawei und Cisco (»code in­spec­tion«). Problematisch dabei ist aller­dings, dass dies immer nur Momentaufnah­men sind. Über den Fernzugriff haben die Unternehmen jederzeit die Möglichkeit, den Programmcode zu ändern. Um per »code inspection« sichere Aussagen über die Verwendung der eingesetzten Produkte tref­fen zu können, wäre es nötig, jede Ände­rung des Programmcodes zu erfassen und zeitnah auszuwerten. Dies geschieht in Deutschland bisher nicht. Bemerkenswert ist in diesem Kontext eine 2018 veröffentlichte Einschätzung des britischen Govern­ment Communications Headquarters (GCHQ): Man habe zwar den von Huawei zur Verfügung gestellten Programmcode geprüft, könne aber keine zuverlässigen Aussagen über jenen Programmcode tref­fen, der in den Produkten von Huawei tat­sächlich zur Anwendung kommt.

Jenseits der Überprüfung des Programmcodes gibt es zum anderen die Möglichkeit, im realen Betrieb zu beobachten, wel­che Daten die Produkte von Huawei über den Fernwartungskanal senden. Zum Teil findet dies bereits standardisiert statt und so würde, wie oben beschrieben, auffallen, wenn auf diese Weise große Datenmengen abflössen. Kleine Datenvolumen jedoch würden kaum bemerkt werden. Da diese Verbindungen zudem üblicherweise verschlüsselt sind, wären gezielte Spionageaktivitäten auf diese Weise nicht zu identifizieren.

Die Gefahr, dass über Netzwerktechno­logie Möglichkeiten der Spionage geschaffen werden, ist mithin real. Auch gibt es bisher keine zuverlässigen Prüfverfahren, um dies auszuschließen.

Allerdings gilt es auch zu bedenken, dass es für ebendiese Zwecke eine Reihe weiterer technischer Zugriffsmöglichkeiten gibt. Weit verbreitet ist etwa die Praxis, dass Staaten an Internet-Knotenpunkten (IXPs) in großem Umfang Daten sammeln. Ebenso üblich ist es, dass Staaten von Unternehmen verlangen, ihnen im Rahmen der Straf­verfolgung Daten der eigenen Bürger wie auch Bürger anderer Staaten zur Verfügung zu stellen. Besonders weit geht hier der US-amerikanische Patriot Act, der über die Straf­verfolgung hinaus in den USA ansässige Fir­men zur Zusammenarbeit mit Sicherheits­behörden verpflichtet. Darüber hinaus nutzen immer mehr Staaten verschiedene Techniken, um sich direkten Zugriff auf Server oder Endgeräte zu verschaffen.

»kill switch« – Die Sorge vor gezielten Störungen der Netze

Hinzu kommt schließlich noch eine gänz­lich anders gelagerte Gefahr, nämlich die der gezielten Störung von Mobilfunknetzen. Technisch denkbar ist etwa, dass die Ver­füg­barkeit von einzelnen Teilnetzen ein­geschränkt wird, um zum Beispiel Pro­duk­tionsprozesse in der Industrie oder die Steuerung der Energieversorgung zu stören.

Indes ist es unwahrscheinlich, dass ein Unternehmen wie Huawei von dieser Mög­lichkeit flächendeckend Gebrauch macht. Die nega­tiven Konsequenzen für das Unter­nehmen selbst, wie auch für die chinesische Regierung, wären enorm. Eine solch umfas­sende Störung ist daher allenfalls im Falle massiver zwischenstaatlicher Auseinandersetzungen vorstellbar.

Bedenkt man allerdings, dass 5G explizit dazu dienen soll, immer mehr Geräte und gerade auch industrielle Produktionsprozes­se über das Mobilfunknetz zu verbinden, so wäre durchaus vorstellbar, dass schon kleine Störungen der Verfügbarkeit des 5G-Netz­werks erhebliche Konsequenzen haben könnten. Zugleich könnten solche Vorfälle hinreichend plausibel als Folge unbeabsich­tigter Fehler dargestellt werden.

Sicherheit, Verfügbarkeit oder technologische Unabhängigkeit?

Um diese Entscheidungen zu treffen, ist es wichtig zu klären, welche Maßnahmen zum Erreichen welcher Ziele geeignet sind und mit welchen politischen und finanziellen Kosten diese Maßnahmen jeweils ver­bunden sind.

Ist das Ziel die Vermeidung von Spionage, so sollte Deutschland unabhängig von der Entscheidung für oder gegen Produkte von Huawei die bestehenden Möglichkeiten zur Verschlüsselung von Kommunikation be­wahren und ausbauen. Richtig konfiguriert bietet eine Ende-zu-Ende-Verschlüsselung auf Anwendungsebene ein hohes Maß an Sicherheit, die für die Nutzer zudem trans­parent nachvollziehbar ist.

Neben der Verschlüsselung auf Anwendungsebene bietet es sich an, die spezifischen Features von 5G für ebendiese Zwecke zu nutzen. Wie beschrieben sind 5G-Netze darauf ausgelegt, im Rahmen einer physi­schen Infrastruktur Netz­werke in einzelne Ein­heiten (»slices«) virtuell auf­zuteilen. Dies würde es auch erlauben, besonders siche­re Verbindungswege zu gestalten und auch als solche zu vermarkten. Als weitere Sicher­heitsmaßnahme ist dabei vorstellbar, dass die Bereitstellung derartiger »high security slices« nicht von den Netzwerkbetreibern selbst ange­boten wird, sondern von Firmen, die sich darauf spezialisieren, ähnlich wie heute schon bei VPN-Verbindungen. Die Frage, welches Unternehmen die Technik für die Netzwerkinfrastruktur stellt, würde so erheblich an Bedeutung verlieren.

Die genannten Maßnahmen zur Verschlüs­selung würden das Spionagerisiko erheblich redu­zieren. Selbst wenn über die Netzwerktechnologie von Huawei Daten ab­gegriffen werden würden, wären die Daten verschlüsselt und mithin unbrauchbar.

Nicht gebannt wäre damit allerdings die Gefahr, dass ein Unternehmen wie Huawei dazu gedrängt werden könnte, die Verfüg­barkeit des 5G-Netzes gezielt zu stören. Um dieser Gefahr vorzubeugen, wäre es ratsam, redundante Kommunikationsstrukturen einzurichten bzw. zu erhalten. In vielen Regionen ist es heute üblich, dass sich die Netze der Mobilfunkanbieter überlappen. In ebendieser Weise wäre es möglich, meh­rere technisch voneinander unabhängige 5G-Netze zu betreiben. Der flächendecken­de und dauerhafte Betrieb solcher Parallel­strukturen würde gewisse Effizienzverluste und damit verbundene Mehrkosten mit sich bringen, dafür aber das Risiko von Netzwerk­störungen verringern. Es gibt mithin eine Reihe von technischen Maßnahmen, die geeignet sind, der Sorge vor Spionage und gezielten Störungen zu begegnen – und dies unabhängig davon, welches Unternehmen die Netzwerktechnologie stellt.

Die Debatte über den Umgang mit Hua­wei wirft aber darüber hinaus die Frage auf, wie die deutsche Politik vor dem Hintergrund der geopolitischen Auseinander­setzungen zwischen den USA und China die eigene technologische Unabhängigkeit gewichtet – und welchen Preis Deutschland hierfür zu zah­len bereit ist. Für die deutsche Politik zeich­nen sich dabei drei Handlungsoptionen ab:

Option 1: Fortführung der bisherigen Politik

Eine Möglichkeit wäre, an der bisherigen Praxis festzuhalten, also den Netzwerk­betreibern zu erlauben, auch weiterhin Technologie von Huawei einzusetzen. Wie beschrieben ließe sich das Risiko der Spio­nage durch den Einsatz von Verschlüsselung reduzieren, der Gefahr gezielter Stö­rungen der Verfügbarkeit des Netzes könn­te durch den Aufbau redundanter Struktu­ren vorgebeugt werden. Auch könnte die Bundesregierung von Huawei finanzielle Sicherheiten ver­langen und wie bisher die Produkte des Unter­nehmens regelmäßigen Kontrollen unter­ziehen. Schließlich könnte die Regierung dafür Sorge tragen, dass Tech­nologie von Huawei nicht in besonders sensiblen Netzen ein­gesetzt wird. Im Regie­rungsnetzwerk ist dies schon heute so; ent­sprechende Vorgaben ließen sich auf ande­re Elemente der kritischen Infrastruktur ausweiten.

In wirtschaftlicher Hinsicht würde ein solches Vorgehen bedeuten, dass man an der bisherigen Politik der Privatisierung der Kommunikationsnetzwerke festhält. Aller Voraussicht nach würde Huawei in der Folge seine schon heute starke Stellung auf dem Markt für Netzwerk­technologie weiter ausbauen.

Im Hinblick auf die geopolitische Dimen­sion der Huawei-Kontroverse würde diese Politik wahrscheinlich sowohl von den »Five Eyes« als auch von China selbst als Entgegenkommen Deutsch­lands gegenüber China gewertet. Will die deutsche Politik ein solches Signal vermeiden, müsste sie beiden Seiten deutlich machen, dass und warum die Entscheidung für Huawei nicht als geopolitische Positionierung zu verste­hen ist.

Option 2:
Schulterschluss mit den USA

Eine Alternative zur gegenwärtigen Politik Deutschlands bestünde darin, sich der Be­wertung der »Five Eyes« anzuschließen und in Huawei ein Instrument chinesischer Geo­politik zu sehen. Dies würde es nahelegen, Huawei weitgehend vom Aufbau des 5G-Netzes auszuschließen.

Mit Blick auf die Sicherheit des 5G-Netzes wäre der chinesischen Regierung damit eine wichtige Möglichkeit zur Spionage und zur Störung der deutschen Mobilfunknetze genommen.

Die kurzfristige Alternative für die Netz­werk­betreiber bestünde darin, auf die Pro­dukte von Nokia und Ericsson zurückzugreifen. Dies würde aller Voraussicht nach zu höheren Kosten führen. Ein Grund für die schnelle Ausbreitung von Huawei in den letzten Jahren war, dass das Unterneh­men mit niedrigen Preisen locken konnte. Diese werden auf die geringen Produktions­kosten in China und die gezielte Förderung Huaweis durch den chinesischen Staat zu­rück­geführt. Es ist nicht davon auszugehen, dass west­liche Unternehmen ihre Produkte auf diesem Preis­niveau anbieten können. Schließlich würde sich der Aufbau von 5G wahrscheinlich verzögern, weil die Kon­kurrenten erst entsprechende Produktionskapazitäten aufbauen müssten.

Mindestens mittelfristig würde der Aus­schluss von Huawei aber auch Unternehmen wie Samsung und Cisco eine Chance bieten, sich auf dem deutschen 5G-Markt zu etablieren. Wie be­schrieben bestünde ins­besondere bei US-Unter­nehmen wie Cisco auch bei diesem Vorgehen die Gefahr, Opfer von Spionageaktivitäten zu werden. Eine bewusste Entscheidung für den Schul­terschluss mit den USA allerdings würde implizieren, diesem Risiko weniger Gewicht zuzumessen.

In geopolitischer Hinsicht würde sich Deutschland mit diesem Vorgehen klar im westlichen Lager verorten. Wie China auf eine solch klare Positionierung reagieren würde, ist schwer abzusehen.

Option 3:
Eine rein europäische Lösung

In einer noch weitergehenden Entscheidung könnte sich Deutschland darauf beschränken, beim Aufbau des 5G-Netzes nur Pro­dukte von Firmen zu verwenden, die ihren Hauptsitz in Europa haben, aktuell also im Wesent­lichen Nokia und Ericsson.

Geht man davon aus, dass Unternehmen mit Hauptsitz in Europa in besonderer Weise der Kontrolle durch europäische Institutionen unterstehen, so würde ein solches Vor­gehen das Risiko von Spionage wie auch die Gefahr gezielter Störungen erheblich redu­zieren. Dies würde sowohl im Verhältnis zu China als auch zu den »Five Eyes« gelten.

Die wirtschaftlichen Implikationen die­ser Option wären ähnlich wie beim Schul­terschluss mit den USA. Auch bei dieser Marschroute wäre damit zu rechnen, dass die Kosten für den Aufbau des 5G-Netzes steigen und sich dieser verzögern würde. Hinzu käme allerdings, dass bei einer strikt europäischen Lösung auch ein südkoreanischer Anbieter wie Samsung aus­geschlossen würde. Zu erwarten wäre im Umkehrschluss, dass dies europäischen Unternehmen zu­gutekäme.

In geopolitischer Hinsicht würde Deutsch­land damit seine Unabhängigkeit sowohl gegenüber China als auch gegenüber den USA festigen. Auch könnte eine solche Entscheidung dazu beitragen, die Rolle Europas in Fragen der Digitalpolitik zu stärken. Allerdings ist nach derzeitigem Stand unwahrscheinlich, dass sich die EU-Mitgliedsstaaten in dieser Frage auf ein ein­heitliches Vorgehen verständigen können. Vielmehr ist davon auszugehen, dass sich eine Reihe von Mitgliedsstaaten eher für den Schulterschluss mit den USA entschließen wird, andere hingegen die Beziehun­gen zu China nicht gefährden wollen.

Schließlich ist nicht abzusehen, ob und wie die USA darauf reagieren würden, dass ihren Unternehmen der Zugang zum deut­schen Markt verwehrt wird.

Die drei skizzierten Handlungsoptionen zei­gen auf, dass es bei der Kontroverse um 5G neben technischen Sicherheitserwägungen im engeren Sinne auch um wirtschaftliche und geo­politische Fragen von erheb­licher Reichweite geht. Die anstehenden Entscheidungen zum Aufbau des 5G-Netzes erfordern mithin eine genuin politische Abwägung verschiedener Güter und Priori­täten. Insbesondere gilt es dabei zu klären, wie sich Deutschland in der geo­politischen Auseinandersetzung zwischen den USA und China positio­nieren will.