Für viele ein Mysterium oder der „Hort des Bösen“: das Darknet. Aber: Neben kriminellen Aktivitäten, die auf diesen Seiten stattfinden, bergen die „dunklen Seiten“ des Internets auch Chancen für Unternehmen und für investigative Medien. Das Internationale Forum für Wirtschaftskommunikation (www.ifwk.net) lud Experten aus Wissenschaft, Wirtschaft, Militär und Medien zum Diskurs in den Wiener Speakeasy Club.

Was passiert tatsächlich im sogenannten Darknet? Wie bekommt man Zugang zu diesem Bereich des Internets? Und birgt das Darknet nur Gefahren oder können Unternehmen es legal für ihre Zwecke nutzen? Antworten auf diese spannenden Fragen gab es dieser Tage bei der IFWK-Veranstaltung „Business Risks from the Deep- and Darknet – wenn sich Ihr digitaler Footprint gegen Sie wendet“, zu der IFWK-Präsident Rudolf J. Melzer gemeinsam mit Wilhelm Milchrahm, Partner und Anwalt bei mslegal, einlud.

Verräterische Spuren im Netz

Wir alle hinterlassen täglich Spuren im Netz. Unser digitaler Fußabdruck ist für potenzielle Angreifer Quelle für kriminelle Aktivitäten, die häufig aus dem Darknet heraus gesteuert werden. 6 % des gesamten Internet-Inhaltes finden sich in diesem sogenannten Darknet, das wiederum Teil des Deep Web ist. Dieses Deep Web besteht großteils aus themenspezifischen Datenbanken und Webseiten, welche von Suchmaschinen nicht indexiert und daher bei einer Suchanfrage nicht gefunden werden. Nur 4 % der Internetinhalte sind im „Surface Web“ zu finden, also jenem Teil des Netzes, der für uns alle frei zugänglich ist.

Wer ins Darknet gelangen will, kann dies tun, braucht aber spezifisches Wissen, erklärt Cybersecurity-Experte und Geschäftsführer von TriConPlus, Stefan Mausser. Das bekannteste Darknet ist das TOR (The Onion Router) Netzwerk. Die ersten Konzepte wurden 1995 von der DARPA sowie dem US NAVAL Research Center entwickelt. Im Jahr 2006 wurde „The Torproject“ zu einer Non-Profit Organisation und wird seitdem von einer Community aus Entwicklern, Enthusiasten und Freiwilligen betrieben und weiterentwickelt.

TOR zur Freiheit und Anonymität

Wichtigster Zweck des TOR Netzwerkes war und ist keinesfalls, kriminelle Aktivitäten zu fördern, sondern Anonymität für den Benutzer sicher zu stellen, so Experte Mausser.

Zu den Nutzern zählen sowohl ganz normale User, welche Wert auf ihre Privatsphäre legen als auch „Menschen, die in Ländern mit starker Zensur leben und z.B. blockierte Social-Media-Seiten erreichen wollen“, so Mausser. Doch auch Aktivisten und Whistleblower greifen gerne auf das Tor Netzwerk zurück, um ihre Identität zu schützen.

IT-Strategie-Expertin Isabella Mader vom Excellence Institute bestätigt ebenfalls, dass es zahlreiche Darknet-User mit lauteren Absichten gibt: „Mit dem Zulassen einer immer invasiveren Überwachungsökonomie verdrängen wir Menschen zunehmend in das anonyme Web. In Diktaturen sind es die Menschenrechtsaktivisten, in Europa vielfach jene, die mit ihren legalen Interessen nicht geleakt oder getrackt werden wollen.“

Legales Surfen auf dunklen Seiten

Das Darknet stellt unter anderem sichere Sharing-Plattformen und anonymisierte, abhörsichere Messenger-Dienste bereit. Die meisten TOR-Nutzer kommen aus den USA, Russland und Deutschland. Insgesamt nutzen täglich etwa zwei Millionen Menschen TOR und finden dort auch ganz normale Informations- und Marktangebote.

Grundsätzlich benötigt man den „TOR-Browser“ um auf die Hidden Services im TOR-Netzwerk zuzugreifen. Diese haben speziellen Adressen mit der Endung *.onion und können mit einem gewöhnlichen Webbrowser nicht aufgerufen werden. Laut TOR Statistiken existieren derzeit zwischen 90.000 und 100.000 solcher Adressen.

Milchrahm warnt vor „Gefahrengeneigtheit“

„Das schlichte Surfen im Darknet ist in der Regel legal“, stellt Anwalt Milchrahm klar. „Grundsätzlich gilt ohnedies das allgemeine Strafrecht. Es besteht kein Unterschied, ob Suchtmittel auf der Straße oder online gehandelt werden.“ Im Darknet gebe es allerdings eine gewisse „strafrechtliche Gefahrengeneigtheit“ – etwa dann, wenn man mit Kinderpornografie in Berührung kommt und in Fällen, in denen der schlichte „Besitz“ eine mögliche Straftat nach sich ziehen könne. Ein typisches Beispiel sei der Download einer Hacker-Software: Geschieht dies aus Neugierde oder tatsächlich mit Handlungsvorsatz?

Lässt sich aus dem Besuch des Darknets auf Letzteres schließen? Somit begibt man sich in rechtliche Gefahr. Andererseits, so der Rechtsexperte, gebe das Datenschutzrecht und allgemeine Sorgfaltspflichten vor, dass man sich vor Eindringlingen schützen müsse – das erfordere möglicherweise Kontroll- und Rechercheaktivitäten auch im Darknet.  Und gerade Großunternehmen sollten unter Umständen gezielt monitoren, ob etwa ihre Kundendaten im Darknet vorhanden sind. So könne überprüft werden, ob eine unberechtigte Offenlegung von Kundendaten, ein sogenannter data breach, vorliegt, wenn diese im Darknet angeboten werden. „Noch ist hier aber nicht alles rechtlich eindeutig geregelt bzw. ausjudiziert“, weiß Milchrahm. Vieles sei von den Umständen des jeweiligen Einzelfalls abhängig und daher solle in der Regel juristischer Rat eingeholt werden, empfiehlt der Rechtsexperte.

Von Falschgeld bis zum Auftragskiller

Auch Medien- und Aufdeckerplattformen zählen zu den Profiteuren des Darknets. Sie können auf anonym hochgeladenes Whistleblower-Material zugreifen und unter Wahrung der Anonymität umfassend recherchieren.

Wie ein Live-Einstieg Stefan Maussers ins Darknet eindrücklich zeigte, gibt es aber eben auch die „dunkle“, kriminelle Seite. Von gefälschten Banknoten, Kreditkarten und Pässen bis zu Drogen und Waffen ist praktisch alles – meist gegen Cryptowährungen – erhältlich. Sogar Auftragskiller können mit wenigen Mausklicks gebucht werden, zeigte der Experte live auf. Und natürlich bieten Hacker ihr illegal gesammeltes Datenmaterial zum Verkauf an.

Ransomware wie Erpressungssoftware, Verschlüsselungstrojaner und andere Schadprogramme sind ebenfalls als Komplett-Packages erhältlich, erfuhren die staunenden Zuhörerinnen und Zuhörer.

Herausforderung für Behörden

Isabella Mader sieht darin auch große Herausforderungen für die öffentliche Hand: „Für Behörden, z.B. für die Exekutive, bedeutet Digitalisierung, dass nicht nur die Wirtschaft in den digitalen Raum migriert, sondern eben auch die Kriminalität. Das Schutzinteresse und der Schutzanspruch z.B. für kritische Infrastruktur gelten dort auch. Mit dieser Challenge ist die Exekutive weltweit konfrontiert.  Und sie muss die entsprechenden Rahmenbedingungen schaffen.“ Europol holt im Kampf gegen die Internetkriminalität allerdings auch stark auf, betonten die Expertinnen und Experten am Podium. In den letzten drei Jahren konnte Europol zahlreiche illegale Märkte im Darknet übernehmen und schließen.

Moderiert wurde die äußerst informative Diskussion von Trending Topics–Madlen Stottmayr. Unter den zahlreichen Gästen im Speakeasy Club von Heidi und Lisa Schmerold: Rainer Walter, geschäftsführender Gesellschafter der auf Sicherheits- und Elektrotechnik spezialisierten Pörner GmbH, die bekannten Wirtschaftsjournalisten Engelbert Washietl und Peter Muzik, Gabriele Schallegger von Mondi, Hatto Käfer von der Vertretung der Europäischen Kommission in Wien, Peter Kraus, Senior Partner bei Hill Woltron, sowie ATOS-Direktor Herwig Schweng.

Der Beitrag Darknet: Nur ein Hort des Bösen? erschien zuerst auf IFWK.

Die Stadt Wien setzt schon um, was auf alle österreichischen Unternehmen in den nächsten Jahren zukommt: Die im Mai 2018 in Kraft tretende Datenschutzgrundverordnung der EU. Ziel ist der verbesserte Schutz der Konsumentinnen und Konsumenten und deren Daten. Für die Wirtschaft bedeutet das aber einen großen bürokratischen Aufwand. Das Internationale Forum für Wirtschaftskommunikation (IFWK) nahm sich dieser neuen Herausforderung für Wirtschaft und Medien an. Im Rahmen einer Podiumsdiskussion, die auf Einladung von HP Österreich stattfand, kam man zum Schluss: Die Einführung der Registrierkassenpflicht war dagegen wie ein Kinderspiel.

„Die Menschen vertrauen Diensten wie Facebook, Google und Co. zum Teil mehr als der Stadtverwaltung“, konstatierte Ulrike Huemer, CIO der Stadt Wien, gleich zu Beginn der Veranstaltung und verwies darauf, dass in Wien täglich bis zu 15.000 Hackerangriffe erfolgreich abgewehrt werden.

Strafrahmen wird um das Tausendfache erhöht

„Behörden und Stadtverwaltungen standen schon bisher unter großem Druck den Datenschutz betreffend, weil sie Gesetze vollziehen müssen“, verwies Rechtsanwalt und Datenschutzexperte Markus Frank auf die Tatsache, dass mit der neuen Datenschutzgrundverordnung, die ab Mai 2018 in Kraft tritt, auf die Unternehmen auch große Strafzahlungen zukommen werden: „Die Bußgelder waren bisher im Vergleich zum Aufwand für angemessenen Datenschutz oft gering und wurden fallweise in Kauf genommen. Das soll sich aber mit der neuen Verordnung ändern. Der Strafrahmen wird um das Tausendfache erhöht. Da geht es dann um Bußgelder von bis zu zwanzig Millionen Euro oder 4% des Jahresumsatzes“, so Frank. Auch die Beweislastumkehr kann für die Unternehmen zum Problem werden. Frank: „Nicht der Betroffene muss mehr beweisen können, dass seine Daten nicht korrekt verwendet werden, sondern die verantwortliche Firma.“ Der Druck von außen auf die Unternehmen wächst also zunehmend, auch von den Medien, in ihrer gesamten Datenverarbeitung v.a. Daten-Minimierung, Transparenz und Daten-Sicherheit umzusetzen.

Der IT-Security-Experte von Capgemini, Fabian Beutel, stellte klar: „Wurde ein Unternehmen von Hackern angegriffen, muss es das in Zukunft veröffentlichen. Das kann die Firma in den Ruin treiben. Wer geht schon zu einer Bank, von der man gelesen hat, dass die Kundendaten dort nicht mehr sicher sind?“

Vertraulichkeit als Wettbewerbsvorteil für österreichische Unternehmen

Bei der von Isabella Mader, Vorstand beim Excellence Institute, moderierten Diskussion betonte Huemer weiter: „Es sind nicht die Daten des Unternehmens, mit denen wir arbeiten, sondern die Daten der Kundinnen und Kunden.“ Transparenz sei das Um- und Auf, nur so kann das Vertrauen der Bürgerinnen und Bürger gewonnen werden: „Schon jetzt hat man das Recht, Auskunft über jegliche Verwendung der Daten von der Stadt Wien zu bekommen“, berichtet die CIO der Stadt Wien. „Zur Verbesserung des Services wird gerade an einer Plattform für Bürgerinnen und Bürger gearbeitet, auf der sie einsehen können, wann und wo welche Daten verwendet wurden.“

Vorteil für Europa

Und genau diese Vertraulichkeit kann zum großen Vorteil für europäische und somit auch österreichische Unternehmen werden, prognostiziert Capgemini-Experte Beutel: „Gerade in den USA und in Asien gibt es kaum Datenschutzgesetze. Wird die neue Datenschutzverordnung von europäischen Unternehmen schnell umgesetzt und ist die nötige Transparenz für die Kunden vorhanden, kann das einen enormen Wettbewerbsvorteil bringen!“

Verschlüsselung als Stolperstein

Eine große Herausforderung wird in Zukunft die zunehmende Verschlüsselung der Daten sein, meint Beutel: „Bisher gut funktionierende technische Security-Systeme von Unternehmen werden durch die vermehrte Verschlüsselung der eingehenden Daten ´blind´ und können diese nicht mehr lesen. Jedes System hat seine Schwachstellen.“ So wird der vermeintliche Schritt hin zu mehr Sicherheit im Datenschutz eigentlich zu einer Stolperfalle, die wieder Raum für Hackerangriffe gibt. Entscheidend sei es jetzt, pragmatische Lösungen für alle Leute zu finden, so Beutel weiter: „Dokumentation und Transparenz sind ganz entscheidend. Jeder muss nachvollziehen können, wo seine Daten liegen und wofür sie verwendet werden.“

In einem stimmten die Gastgeberin, HP-Österreich-Geschäftsführerin Michaela Novak-Chaid, und  IFWK-Gründer Rudolf J. Melzer mit allen Diskutantinnen und Diskutanten überein: Je früher sich die Unternehmen mit der neuen Verordnung auseinandersetzen, desto besser. Nur so können IT-Abteilungen gut geschult werden und mit Datenschutzbeauftragten gut zusammenarbeiten. „Entscheidend ist es, dass jeder Mitarbeiterin und jedem Mitarbeiter bewusst ist, wie sie richtig mit den Daten der Menschen umgehen müssen und dass das auch entsprechend von der Unternehmensspitze intern kommuniziert werden muss.“ (Melzer)

An der Diskussion beteiligten sich des Weiteren der Vorstandsvorsitzende von Capgemini in Österreich, Bernd Bugelnig, NTT DATA Österreich CEO Klaus Schmid, TTTech Aufsichtsratschef Leopod Bednar, PwC-Partner Dieter Harreither, der Chef von Fraunhofer Austria Research, Wilfried Sihn sowie adesso-IT-Konsulent Walter Weihs.

Der Beitrag FORUM: „Registrierkassenpflicht war ein Kinderspiel“ erschien zuerst auf IFWK.

Bis vor Kurzem wurden die Warnungen vor einer lückenlosen Überwachung der Kommunikation und des Internetverkehrs von vielen noch als paranoide Verschwörungstheorie abgetan. Spätestens seit den Snowden-Enthüllungen ist klar, dass die Realität die schlimmsten Befürchtungen teilweise noch übertrifft. Für Mader ist die allgemeine Überraschung vollkommen unangebracht. Die Fakten seien seit über zwei Jahrzehnten aus den Medien bekannt, aber die Gesellschaft habe „einfach erfolgreich weggeschaut“. Auch die Empörung der Politik sei „gespielt“. So habe etwa Deutschland schon 1968 vertraglich die flächendeckende Überwachung an den US-Geheimdienst „outgesourct“ und auch von den Ergebnissen profitiert.

US-Unternehmen stark unter Druck

Nichts desto trotz entsteht US-Unternehmen, insbesondere der Cloud-Wirtschaft, durch die Snowden-Enthüllungen derzeit ein erheblicher Schaden. Mader unterstreicht, dass alle Unternehmen mit US-Headquarters dem Patriot Act und weiterführenden „Anti-Terror“-Verordnungen unterliegen, die US-Behörden praktisch uneingeschränkt das Mitlesen von Daten erlauben. Die diesbezüglichen Dementis der US-Internetfirmen seien „vollkommen unglaubwürdig“. Zehn Prozent der europäischen Kunden hätten US-Cloud-Anbietern bereits den Rücken gekehrt. Weitere 56 Prozent würden über einen Wechsel zu Anbietern nachdenken, die die Einhaltung der strengen europäischen Datenschutz-Standards glaubhaft garantieren können, so Mader. Auch Verschlüsselung und Firewalls böten keinen Schutz vor behördlicher Spionage, da sich diese Industrien ebenfalls fast zur Gänze in US-Hand befänden. Das alles biete europäischen Anbietern große Chancen, die es nun auch zu nutzen gelte.

Rechtsstaat wird ausgehebelt

Wer nichts zu verbergen hat, hat nichts zu befürchten? Mit diesem Killer-Argument der Überwachungsstaat-Befürworter räumte Software AG-Mann Strnadl auf. Er erläuterte der zahlreich erschienenen Zuhörerschaft die technische Infrastruktur, die zu einer flächendeckenden Überwachung nötig ist. Alle Verbindungs- und Inhaltsdaten werden an internationalen Internet-Knotenpunkten abgezweigt, kurzfristig gespeichert und einer Echtzeit-Auswertung mit Big Data-Methoden (statistische Mustererkennungssoftware zur Analyse großer Datenmengen) zugeführt. Potenziell „interessante“ Inhaltsdaten werden längerfristig gespeichert. Doch selbst mit den hochentwickelten Auswertungsverfahren der NSA mit extrem niedriger Fehlerquote seien statistisch gesehen 98 Prozent aller als verdächtig identifizierten Personen oder Unternehmen vollkommen unschuldig.

Am meisten empört Strnadl dabei, dass man mit dieser Praxis „hinter 2000 Jahre alte rechtsstaatliche Prinzipien zurückfällt“. „Diese nicht anlassbezogene Überwachung ohne jede unabhängige Kontrolle führt zu einer doppelten Beweislastumkehr. Der Bürger muss sich frei beweisen und sich darüber hinaus noch rechtfertigen, wenn er von den staatlichen Institutionen über die Eingriffe in seine Privatsphäre Auskunft verlangt“, so Strnadl.

Big Data als Gefahr

Wissensmanagement-Experte Woitsch sieht in den immer ausgeklügelteren Big Data-Methoden eine große Gefahr. Daten würden in noch nie dagewesenen Dimensionen und Geschwindigkeiten gesammelt und automatisiert ausgewertet. Laut dem Datenschutzgesetz müssten immer der Zweck und die Struktur aller verarbeiteten personenbezogenen Daten der Datenschutzbehörde gemeldet werden. Bei Big Data seien aber weder Zweck noch Struktur der gesammelten Daten vorab bekannt. Dadurch fänden diese Analysen de facto im rechtsfreien Raum statt, da bestehende Datenschutzgesetze nicht greifen.

Am Ende der Veranstaltung stellte Format-Journalistin Barbara Mayerl, die die Diskussion leitete, die Frage nach den Lehren und Handlungsempfehlungen, die aus der NSA-Affäre zu ziehen wären. Woitsch sieht die Politik gefordert, geeignete rechtliche Rahmenbedingungen zu schaffen und junge Menschen schon im Bildungssystem seriös auf das Leben in einer „virtualisierten Welt“ vorzubereiten.  Unternehmen empfiehlt er neben einem permanenten Risikomanagement und einer Aufstockung des IT-Sicherheitsbereichs vor allem ein massives Change Management in allen Bereichen des Unternehmen, das auf eine Verhaltensänderung der User abziele. „Jeder Mensch, egal ob mit oder ohne Computer, ist der Virtualsierung ausgesetzt und muss sein Verhalten ändern“, so Woitsch.

„Star Alliance“ der europäischen Softwareindustrie als Lösung

Strnadl schlug am Ende seines Statements eine “Star Alliance der europäischen Software Industrie“ zur Schaffung einer unabhängigen europäischen Cloud-Industrie vor und mahnte auch einen verstärkten gesellschaftlichen Druck auf die Politik ein: „Wenn wir alle gemeinsam mehr Transparenz fordern, können wir etwas bewegen.“

Der Beitrag FORUM: „Datagate“-Affäre als Chance für Europas IT-Wirtschaft erschien zuerst auf IFWK.