Es ist Zeit, mal wieder so richtig auf den Pudding zu hauen. Schon die Überschrift ist Clickbait in Reinform: unnötig, verwirrend und falsch. Und erst das Titelbild. Egal, das ist ein Meinungsartikel, in dem ich (fast alles) schreiben darf, was ich will.
Selbstverschuldet
Der geschätzte Reto Vogt titelte vor einer Woche bei dnip in seiner Kolumne "Selbstverschuldet". Wer keine Lust hat, diesen guten Beitrag zu lesen: Hier ist das tl;dr:
- Minütlich sehen wir Angriffe auf IT-Systeme und fast täglich werden relevante Daten gestohlen.
- Reto führt jüngste Beispiele auf: Ricardo, Republik, Pensionskasse des Bundes, der Migros, der Post uva.
- Ist KI dafür mitverantwortlich? Ja, auch.
- Das eigentliche Problem liegt darin, dass Unternehmen, Organisationen und ihre Dienstleister, ihre IT nicht im Griff haben.
- Zitat von Eva Wolfangel: "Uns killt nicht die KI-Apokalypse, sondern miserable IT‑Sicherheit. Die Ursache ist nicht künstliche Intelligenz, sondern menschliche Dummheit."
Antrag der Grünen
Die Grünen-Fraktion im deutschen Bundestag fordert verbindliche Sicherheitsstandards für leistungsstarke KI-Systeme und will Unternehmen und Führungskräfte für schwere Sicherheitsvorfälle haftbar machen. Die Details lest ihr in diesem Antrag. Was möchten die Grünen?
- Die KI-Firmen in die Pflicht nehmen
- Verbindliche Regeln zwischen den Staaten schaffen
- Das Sicherheitsinstitut AISI Deutschland richtig ausstatten
- Die KI-Verordnung konsequent durchsetzen
Zwischenbetrachtung
Reto stellt fest, dass Unternehmen, Organisationen und Dienstleister zu wenig in ihre IT‑Sicherheit investieren. Ja, das sehe ich auch so. Der Antrag der Grünen liest sich wie ein Wunsch nach dem Wolkenkuckucksheim. Ich halte diese Forderungen für nicht durchsetzbar.
Hier ist ein Bild, welches den Angriffsvektor stark vereinfacht darstellt:
Die Grünen fordern in ihrem Antrag, die Bad Actors zu regulieren. Ja, das kann man machen, falls man es schafft. Reto Vogt möchte die Dienstleister und Organisationen in die Pflicht nehmen. Auch das ist eine gute Idee, die leider nicht helfen wird. Die Angegriffenen (Dienstleister und Organisationen) haben keinerlei Interesse daran, ihre IT-Sicherheit zu erhöhen, solange das nicht mit finanziellen Schmerzen verbunden ist.
Wir kennen in vielen Bereichen regelmässige Überprüfungen von Unternehmen:
- Die Fahrgeschäfte auf dem Rummelplatz (Chilbi, Kirmes) werden vom TÜV untersucht, freigegeben oder stillgelegt.
- Restaurants werden von Lebensmittelinspektoren überprüft, ob Ratten durch die Küche rennen.
- Eure Kraftfahrzeuge müsst ihr regelmässig von amtlicher Stelle testen lassen (TÜV).
- Medikamente durchlaufen einen strengen Prüfprozess, bevor sie in euren Körpern landen.
Derartige Prüfungen sind etabliert, akzeptiert und wichtig. Insbesondere wenn es um Menschenleben geht. Durch Angriffe auf IT-Systeme sind noch nicht genug Menschen gestorben, um hier ähnliche Kontrollen einzuführen. Wie so oft, gilt auch hier, dass nicht vorausschauend gedacht wird. Zuerst muss das sprichwörtliche Kind in den Brunnen fallen, bevor sich etwas regt. Bis dahin gelten bestenfalls die Eingeständnisse der Wirtschaft zur Selbstkontrolle, was gleichbedeutend mit "wir machen nichts" ist.
Haftung
Angenommen, du bist Steuerzahler und dein Finanzamt beklagt einen Datenabfluss. Alles, was dein Finanzamt von dir weiss, kursiert nun im Internet und wird den Meistbietenden zur Weiterverwendung angeboten. Angenommen, du bist Kunde bei Booking.com und deine Reisebuchungen und Kreditkartendaten stehen zum Verkauf. Angenommen, deine Wertschöpfung wird von KI-Firmen für ihre Modelle abgegriffen und für Werbezwecke missbraucht. Was machst du dann? Nichts, du machst gar nichts!
Ich habe vor vielen Monden ein Interview mit dem IT-Rechtsanwalt Christian Laux aufgenommen und die Haftungsfrage besprochen. Ihr habt keine Chance, gegen den Datenverlust von Behörden oder Firmen rechtlich vorzugehen, ausser ihr habt sehr viel Geld und sehr viel Zeit.
Behörden, Organisationen und Unternehmen stellen sich meist als Opfer von kriminellen Machenschaften dar. "Wir sind die Betrogenen und es tut uns sehr leid für unsere Kunden. Für uns ist das Neuland." Diese Einstellung privatisiert Gewinne und sozialisiert Verluste. "Aber Ralf, das ist doch Unsinn. Ein Finanzamt kann keine Gewinne privatisieren." Das stimmt, aber es kann Mehrausgaben über Steuern sozialisieren.
Butter bei die Fische!
Es kann doch nicht sein, dass sich die oben genannten als Opfer inszenieren. Wenn ich meine Haustür nicht abschliesse, zeigt mir die Versicherung den Stinkefinger, wenn Kriminelle mein Tafelsilber hinaustragen. Datenverlust ist nur möglich, wenn die Opfer ihre Hausaufgaben nicht erledigt haben. Natürlich ist das teuer. Es kostet bei Behörden Steuergelder und bei Firmen mindert es den Gewinn und erhöht die Preise für die Kunden.
Ich fordere einen Haftungsanspruch gegenüber Behörden, Organisationen und Unternehmen, die aufgrund von unzureichenden Schutzmassnahmen in ihrer IT (auch beim Dienstleister) Kundendaten zu deren Schaden verlieren. Mir wäre es lieber, diese Verfehlung als Offizialdelikt und nicht als Antragsdelikt zu behandeln (bei Antragsdelikten musst du selbst Strafanzeige stellen. Offizialdelikte verfolgt die Staatsanwaltschaft, ohne dass du eine Anzeige einreichst).
Mir ist klar, dass eine solche Massnahme den liberalen Markt in seinen Grundfesten erschüttern würde. Tausende Firmen würden in den Ruin gestürzt, weil sie die Kosten für eine sichere IT nie in ihrem Business Case berücksichtigt haben.
Was meint ihr dazu? Sind meine Gedanken zu radikal? Wie verklagt ihr Microsoft oder das Finanzamt bei Datenverlust?
Schönes Wochenende
Titelbild: https://pixabay.com/photos/hammer-books-law-dish-lawyer-719066/
Quellen: stehen im Text
