Lena Sterz: Hacker interessieren sich nicht nur für Unternehmen und Behörden, auch Hochschulen haben sie für sie als Zielobjekte für sich entdeckt: Es ist lukrativ Forschungsergebnisse elektronisch auszuspähen und für viel Geld weiter zu verkaufen. Viele Millionen Euro Forschungsförderung werden jedes Jahr an deutschen Hochschulen investiert, aber wenn die Ergebnisse dann nachher zum Beispiel in China landen, bringt die staatliche Förderung natürlich nicht viel.
Michael Kilchling beschäftigt sich mit dem Thema Wissenschaftsspionage am Freiburger Max-Planck-Institut für ausländisches und internationales Strafrecht und an ihn geht die Frage: Woran merkt man beziehungsweise woran merken Wissenschaftler, dass sie gehackt wurden?
Michael Kilchling: Ja, da sprechen Sie ein wichtiges Problem an. Oft ist es tatsächlich so, dass der einzelne Wissenschaftler, die einzelne Wissenschaftlerin es überhaupt nicht feststellen kann. Das hängt damit zusammen, dass gerade bei Universitäten, in größeren Forschungseinrichtungen die IT ja der wesentliche Anknüpfungspunkt ist. Die Verbindung jetzt zwischen der einzelnen Person und der IT-Abteilung, da haben wir oft lange Wege.
"Auch Datenabfluss von innen"
Sterz: Aber würde nicht der Wissenschaftler oder die Wissenschaftlerin irgendetwas Komisches an seinem oder ihrem Computer bemerken, an den E-Mails, irgendwas?
Kilchling: Das kann im Einzelfall sein, aber häufig ist es so, dass die gesamten Dateien dann abends auf einem zentralen Server gespeichert werden, wenn die Backups nachts hergestellt werden - und ab dem Moment ist ja dann auch die Verbindung zum einzelnen Endgerät, das dann der Wissenschaftler auf seinem Schreibtisch hat, die ist dann gar nicht mehr gegeben.
Sterz: Kann man trotzdem ungefähr abschätzen, wie groß dann das Ausmaß der Wissenschaftsspionage ist, wie viele Hochschulen in Deutschland in jedem Jahr ungefähr gehackt werden?
Kilchling: Nein, verlässliche Zahlen gibt es nicht. Das hängt einfach damit zusammen, dass Angriffe auf die IT-Systeme von außen, das ist ein alltägliches Phänomen. Selbst ein kleines Institut wie unser Max-Planck-Institut hat täglich Dutzende, wenn nicht Hunderte von Angriffen von außen. Und dann tatsächlich der einzelne Angriff, der ist sehr schwierig zurückzuverfolgen. Sie können dann zwar feststellen, welche Angriffe hängengeblieben sind in diesen Vorkehrungen - Firewall wird das ja auch genannt -, aber Sie können dann zwar feststellen, es wurde tatsächlich auf Daten zugegriffen. Aber dann ist es wiederum schwierig, den Ursprung festzustellen, tatsächlich den Angreifer zu identifizieren. Das kann der Geheimdienst in China oder Russland sein, das kann aber auch ein privater Hacker sein, der nur mal ausprobiert hat, komme ich in das System rein.
Sterz: Wie gehen die Hacker denn eigentlich genau vor, wenn sie versuchen, an die Forschungsergebnisse ranzukommen?
Kilchling: Ja, das können einmal die Zugriffe von außen sein auf das IT-System, es kann aber natürlich auch ein Datenabfluss von innen sein. Mitarbeiterinnen, Mitarbeiter, das kann die Putzkolonne sein, Studentinnen, Studenten, Lehrstuhlassistenten, Doktoranden, Mitarbeiterinnen und Mitarbeiter in zeitlich befristeten Projekten oder auch die Praktikantin aus China.
"Die IT-Abteilung ist meistens weit weg"
Sterz: Was sind denn die größten Fehler, die Professoren und wissenschaftliche Mitarbeiter zum Beispiel oder auch studentische Hilfskräfte machen, wenn sie mit wichtigen Forschungsergebnissen arbeiten?
Kilchling: Es sind nicht mal so sehr die persönlichen Fehler, es gibt auch systemische und strukturelle Probleme, gerade an Universitäten, wenn Sie an den offenen Zugang denken. Es ist viel Betrieb, gerade in der Semesterzeit, die Lehrstuhlbereich, da können Sie Zugänge nicht wirklich effektiv kontrollieren. Wir haben hohe Fluktuation, größtenteils befristete Stellen. Gerade Loyalität und persönliche Beziehung zu der Arbeit ist da auch schwierig herzustellen. Dann haben Sie Anonymität, es sind die Organisationsstrukturen, die IT-Abteilung ist meistens weit weg.
Und wenn wir dann an den persönlichen Bereich denken, da ist es eben die Sensibilität im Umgang mit Daten, das ist ja oft einfach nur unbequem, wenn man beispielsweise daran denkt, Passwörter zu ändern und so weiter. Es kann Leichtsinn sein, wenn Sie an Termindruck denken, wenn irgendwann das Forschungsprojekt abgeschlossen sein muss, weil die Forschungsfördergelder sonst nicht fließen, dann verzichtet man eben auf komplizierte Datensicherungsmaßnahmen beispielsweise.
Auslandsreisen sind ein anderes Thema, mobile Daten, möglichst wenig mobile Daten mitzunehmen, nicht nur der Zoll kann ein Problem sein, wenn Sie beispielsweise nach China einreisen, in die USA. Auch Hotelzimmer, dass Sie den Laptop nicht im Hotelzimmer liegenlassen, Konferenzräume, es gibt unzählige Situationen, in denen Sie sich immer bewusst sein müssen der Datensicherheit.
Sterz: Das klingt nach einer großen Herausforderung für alle, die im Wissenschaftsbetrieb arbeiten. Vielen Dank, Herr Kilchling!
Kilchling: Gerne!
Äußerungen unserer Gesprächspartner geben deren eigene Auffassungen wieder. Der Deutschlandfunk macht sich Äußerungen seiner Gesprächspartner in Interviews und Diskussionen nicht zu eigen.
