Angriffsflächen & Schutz
Jedes System wird angegriffen. Ein System, das seine eigenen Angriffsflächen nicht kennt, ist bereits kompromittiert. Fünfzehn konkrete Angriffe, drei Zeit-Angriffe, vier Meta-Angriffe — mit den dazugehörigen Gegenarchitekturen.
§ D.0 · VorbemerkungWarum diese Analyse zuerst
Ein Konzept, das nicht seine eigenen Bruchstellen benennt, verdient keinen politischen Respekt. Die Angreifer benennen sie ohnehin — besser das System selbst tut es zuerst, mit Gegenmaßnahmen.
Die Angriffe auf ein digitales Verwaltungssystem kommen nicht primär von außen. Sie kommen aus der Institution selbst, aus der Politik, aus Ökonomie und Rechtsauslegung — und sie kommen langsam. Klassische Cybersicherheit (Firewall, Pentest, Patch-Management) ist notwendig, aber nicht hinreichend. Der gefährlichste Angriff ist der, den niemand bemerkt, weil er sich über zehn Jahre erstreckt und „nur" das Prinzip aushöhlt.
Die folgenden fünfzehn Angriffe sind durchgespielt worden — anhand realer Präzedenzfälle in Österreich, den Niederlanden, Deutschland, Australien und den USA. Jeder Angriff trägt: Szenario (wie läuft er ab), Vektor-Zuordnung (wo trifft er rein), Schaden (was geht verloren) und Schutz (welche Architektur verhindert ihn). Keine Schutzmaßnahme ist perfekt — aber jede erhöht die Kosten des Angriffs und senkt seine Erfolgswahrscheinlichkeit.
Sicherheit ist nicht die Abwesenheit von Angriffen. Sicherheit ist die Konstruktion, in der Angriffe teuer, sichtbar und rückverfolgbar werden.
§ D.1 · VektorenWoher kann Schaden kommen
Zehn Vektoren bilden die Taxonomie. Jeder konkrete Angriff lässt sich einem oder mehreren Vektoren zuordnen. Das schafft Struktur und macht Lücken sichtbar.
Ein gutes System verteidigt gegen alle Vektoren — unterschiedlich stark, aber nicht einzelne ignorierend. Die meisten realen Ausfälle kommen aus Vektorkombinationen: V1+V6 (politisch gewollte Budgetaushungerung), V2+V3 (interner Akteur manipuliert Technik), V4+V7 (Datenskandal wird medial verstärkt).
§ D.2 · Klassische AngriffeDie zehn bekannten Gefahren
Diese zehn Angriffe haben historische Präzedenzfälle. Sie sind nicht hypothetisch. Jede Schutzarchitektur ist aus diesen Fällen gelernt.
§ D.3 · Subtile AngriffeDie schwer erkennbaren fünf
Diese Angriffe sind gefährlicher als die klassischen — nicht weil sie schlimmer wirken, sondern weil sie schwerer zu erkennen sind. Sie unterlaufen das System, während formal alles in Ordnung scheint.
§ D.4 · Zeit-AngriffeDie tödlichste Klasse
Zeit ist der unterschätzteste Angriffsvektor. Alle oben genannten Angriffe wirken über Monate oder Jahre. Diese drei Zeit-Angriffe wirken über Jahrzehnte — und sie sind gerade deshalb am gefährlichsten: kein einzelner Akt des Sabotage, sondern strukturelle Erosion.
§ D.5 · Meta-AngriffeGegen das Konzept selbst
Bevor das System angegriffen wird, wird das Konzept angegriffen — in der Debatte, in Medien, in Ausschüssen. Vier Muster sind dominant. Jeder Meta-Angriff bekommt hier seine Antwort.
§ D.6 · Red TeamWer das System angreift, bevor andere es tun
Sicherheit, die nicht regelmäßig getestet wird, ist Theorie. Ein Red-Team-Protokoll zwingt das System dazu, sich selbst zu hinterfragen — jährlich, unabhängig, dokumentiert.
Jährliche unabhängige Angriffssimulation
Externes Team (unabhängig, rotierend, vergaberechtlich sauber) versucht, das System zu kompromittieren — technisch, organisatorisch, rechtlich. Findet Schwachstellen, bevor ein echter Angreifer es tut.
Sozio-technisches Threat-Modeling
Nicht nur Pentests auf Server. Simulation aller zehn Vektoren: Was passiert, wenn Lobby X einen Paragraphen einschmuggeln will? Was, wenn Minister Y die Aufsicht aushungert? Theaterspiele statt nur Server-Tests.
Blue-Team-Verteidigung und Review
Das betreibende Team muss auf alle Angriffe reagieren — dokumentiert. Jede unentdeckte oder unbehandelte Schwachstelle ist ein Befund.
Veröffentlichung (mit maßvoller Verzögerung)
Die Ergebnisse werden öffentlich — mit hinreichender Verzögerung, um Schwachstellen zu fixen, aber ohne sie dauerhaft zu verschweigen. Typisch: 90-180 Tage Responsible Disclosure.
Bug-Bounty-Programm für Bürger
Wer Schwachstellen findet und meldet, bekommt finanzielle Anerkennung. Macht Melden attraktiver als Ausnutzen — und zieht Talent auf die Verteidigungsseite.
Review durch Parlament und Öffentlichkeit
Jahresbericht an Parlament mit kritischen Befunden. Öffentliche Fassung (gekürzt, aber substantiell). Ausschuss-Hearing.
§ D.7 · Kill-SwitchWenn das System abgeschaltet werden muss
Jede kritische Infrastruktur braucht Fail-Safes. Ein System, das nicht rückrollbar ist, ist auf Lebenszeit verdammt, seine eigenen Fehler zu tragen. Dieses Konzept kennt den geordneten Ausstieg.
Das Kill-Switch-Protokoll
Wird eine kritische Kompromittierung oder ein systemischer Fehler festgestellt, muss das System in den Fail-Safe-Modus überführt werden. Das ist kein Notfall-Code, sondern ein geordnetes Verfahren mit klaren Auslösekriterien und Wiederherstellungswegen.
- Auslösekriterien: Bestätigte Manipulation von Audit-Logs · systematische Diskriminierung über festgelegte Schwellen · Verstoß gegen ein Axiom in mehr als 0,1 % der Fälle · Cyber-Angriff mit bestätigter Datenexfiltration.
- Auslöser: Parlament auf Empfehlung der Aufsichtsstelle UND des Rechnungshofs. Bei unmittelbarer Gefahr: Aufsichtsstelle allein mit nachträglicher Parlamentsratifikation binnen 72 Stunden.
- Fail-Safe-Modus: System liefert nur gesetzliche Mindestleistungen, alle Ermessenspfade gehen in menschliche Bearbeitung, automatische Entscheidungen werden ausgesetzt.
- Rollback-Pfad: Altsystem bleibt in ersten 24 Monaten nach Vollmigration als Fallback operativ. Danach: geordneter Übergang auf Ersatzinfrastruktur.
- Kommunikation: Bürger werden unverzüglich, ehrlich, in einfacher Sprache informiert. Keine Vertuschung.
- Lessons Learned: Public Post-Mortem binnen 90 Tagen. Was ist passiert, wie wurde reagiert, was wird strukturell geändert.
§ D.8 · GrenzenWas verwundbar bleibt
Ehrlichkeit zum Schluss: Kein System ist uneinnehmbar. Die folgenden vier Restverwundbarkeiten bleiben — und es ist redlicher, sie zu benennen, als zu behaupten, sie gäbe es nicht.
Rest-Verwundbarkeit 1 — Demokratische Selbstaufhebung
Eine demokratisch gewählte Mehrheit kann die Axiome abschaffen. Das System kann sich nicht gegen seine Träger schützen, ohne selbst undemokratisch zu werden. Der Schutz ist Sichtbarkeit — wer die Axiome angreift, muss das öffentlich tun. Das ist weniger als Unverletzlichkeit, aber mehr als der Status quo.
Rest-Verwundbarkeit 2 — Quantensprungmässige technische Brüche
Ein heute unvorhersehbarer technischer Bruch (analog zu Quantencomputer für Crypto) kann ganze Architekturannahmen umwerfen. Der Schutz ist Crypto-Agility und Modularität — Austauschbarkeit einzelner Bausteine ohne Gesamtneubau. Aber das ist keine Garantie.
Rest-Verwundbarkeit 3 — Koordinierter Insider-Angriff
Wenn mehrere Schlüsselhalter in Rechnungshof, DSB, Volksanwaltschaft und Parlament gleichzeitig konspirieren, ist das Audit-Log manipulierbar. Die Wahrscheinlichkeit ist sehr gering (unterschiedliche institutionelle Kulturen, parteipolitische Diversität), aber sie ist nicht null.
Rest-Verwundbarkeit 4 — Fundamentale Werteänderung
Wenn die Gesellschaft beschließt, dass Würde, Gleichheit, Selbstbestimmung nicht mehr zentrale Werte sein sollen, ist dieses System obsolet — und mit ihm alles, was die liberale Demokratie ausmacht. Das ist kein technisches Problem. Das ist ein zivilisatorisches. Und es ist real — die Welt der 2020er und 2030er Jahre zeigt, dass diese Werte angreifbar sind.
Sicherheit ist immer relativ. Dieses Annex macht das System nicht unverwundbar. Es macht Angriffe teuer, sichtbar, rückverfolgbar — und es verlagert den Kampf vom Einzelfall auf die Struktur. Das ist das Maximum, was ein demokratisches System leisten kann, ohne autoritär zu werden.