WASHINGTON – Große Erleichterung in amerikanischen Behörden: Mehrere Regierungsstellen, die zunächst als Opfer chinesischer Hacker bezeichnet worden waren, waren offenbar gar nicht erfolgreich gehackt worden. Sie standen lediglich im Visier. Ein bedeutender Unterschied – ungefähr wie zwischen „Haus abgebrannt“ und „Mann mit Benzinkanister hat bei Google Maps schon mal die Adresse gesucht“.
Damit erreicht die moderne Behördenkommunikation eine neue Entwicklungsstufe: Cybersecurity by Pressemitteilung.
Nachdem zunächst sinngemäß „HACKER DRIN!“ gemeldet worden war, folgte später die beruhigende Präzisierung: „Also, drin vielleicht nicht. Aber sie wollten möglicherweise rein. Oder hätten gekonnt. Jedenfalls war irgendwas mit China und Computern.“
Für Bürger ohne Verwaltungsausbildung mag das widersprüchlich klingen. Experten wissen jedoch: Zwischen technischem Sachverhalt und behördlicher Pressemitteilung liegt traditionell ein Gebiet, das kartografisch noch weitgehend unerforscht ist.
Eine fiktive Pressestelle hat deshalb nun ein dreistufiges Cyberwarnsystem entwickelt.
Stufe 1: „Passiert“
Ein Angriff hat tatsächlich stattgefunden. Systeme wurden kompromittiert, Daten abgegriffen oder Schadsoftware eingeschleust. Die IT untersucht den Vorfall, während die Pressestelle fragt, ob „kompromittiert“ nicht etwas zu negativ klingt.
Stufe 2: „Beinahe passiert“
Jemand wollte angreifen. Vielleicht gab es Scans, Phishing, verdächtige Zugriffe oder einen chinesischen Hacker, der kurz mit der Maus über dem Login-Button schwebte. Sicherheitshalber wird bereits das Krisenzentrum geöffnet und Kaffee bestellt.
Stufe 3: „Für die Pressemitteilung ausreichend passiert“
Die gefährlichste Kategorie. Es liegen noch keine gesicherten technischen Erkenntnisse vor, aber bereits eine hervorragende Schlagzeile.
Das neue Verfahren soll Behörden vor allem Zeit sparen. Früher mussten IT-Forensiker erst Logdateien untersuchen, Systeme analysieren und Indikatoren bewerten. Heute genügt ein Kommunikationsreferent mit Outlook, erhöhtem Puls und Zugriff auf den Presseverteiler.
Die technische Untersuchung beginnt anschließend – sobald alle Interviews gegeben wurden.
Insider berichten bereits über die Entwicklung weiterer Kategorien wie „mutmaßlich möglicherweise eventuell betroffen“, „Cyberangriff mit bislang fehlendem Angriff“ und die höchste Alarmstufe „CNN hat angerufen“.
Dabei ist die begriffliche Unterscheidung alles andere als nebensächlich. Dass staatliche Einrichtungen von chinesischen oder anderen staatlich unterstützten Akteuren ins Visier genommen werden, ist eine reale und ernsthafte Bedrohung. Gerade deshalb sollte ein erfolgreicher Einbruch nicht mit einem Angriffsversuch verwechselt werden. Wer jeden Rauchmelder sofort zum Großbrand erklärt, darf sich irgendwann nicht wundern, wenn die Bevölkerung beim echten Feuer erst einmal auf die korrigierte Pressemitteilung wartet.
Die wichtigste Lehre lautet daher: Erst prüfen, dann melden.
Die Pressestelle weist diesen Vorschlag allerdings zurück.
Man habe dazu bereits eine Pressemitteilung veröffentlicht.
Ob der Vorschlag technisch geprüft wurde, werde derzeit untersucht.
