Wer eine Regel schreibt, denkt meist darüber nach, was erlaubt und was verboten sein soll. Wer sie umgehen will, stellt eine andere Frage: Was wurde bei dieser Regel übersehen? Genau dieser Perspektivenwechsel macht den Unterschied zwischen Sicherheit auf dem Papier und Sicherheit in der Praxis.
Wenn die Verpackung wichtiger wird als der Inhalt
Für die folgende Überlegung genügt ein vereinfachtes Bild auf drei verschiedene Comnputertypen: der Büro-PC für alltägliche Aufgaben, die leistungsfähige Workstation für CAD und Grafik sowie der Server für zentrale Dienste und rechenintensive Anwendungen. Entscheidend ist aber nicht das Etikett auf dem Gehäuse. Entscheidend ist, welche Technik darin steckt und wofür sie eingesetzt werden kann.
Ein aktueller Bericht zeigt, wie diese Unterscheidung ausgenutzt werden soll: Nach Recherchen von The Information, werden leistungsfähige HBM-Speicherchips mit vergleichsweise schwachen Prozessoren zu Paketen kombiniert, um Exportbeschränkungen für Lieferungen nach China zu umgehen. Laut diesen Berichten wird dabei eine Lücke ausgenutzt, weil für die betreffende Einstufung die Rechenleistung des Prozessors maßgeblich ist und nicht die Leistungsfähigkeit des beigepackten Speichers.
Jede Regel provoziert eine Ausnahme
Es geht also nicht um einen gewöhnlichen Arbeitsplatzrechner mit etwas besserem Arbeitsspeicher, sondern um spezielle High-Bandwidth-Memory-Chips in Prozessorpaketen. Die Speicherchips werden laut Bericht später wieder aus den Paketen herausgelöst, während die übrigen Komponenten verworfen werden.
Die vermeintlich nebensächliche Komponente ist damit das eigentliche Ziel. Der Rest dient vor allem als Transportmittel.
Aus diesen Berichten lässt sich weder ableiten, dass solche Lieferungen pauschal legal sind, noch dass Regierungen die beschriebenen Geschäfte selbst organisieren. Beides wäre eine weitergehende Behauptung, für die die zitierten Darstellungen keinen belastbaren Nachweis liefern.
Eine Lücke ist kein Freibrief
Der Fall wirft trotzdem eine grundsätzliche Frage auf: Was nützt eine Vorschrift, wenn sie eine Produktkategorie kontrolliert, aber das wirtschaftliche Ziel dahinter verfehlt? Wer nur die vorgesehene Nutzung betrachtet, übersieht möglicherweise die naheliegende Zweckentfremdung.
„Bürokratie kostet und bringt nichts“ wäre als Schlussfolgerung zu pauschal. Treffender ist: Bürokratie kostet. Sicherheit entsteht erst, wenn Regeln auch gegen kreative Umgehung bestehen.
Was Sie daraus lernen können
„Hacker denken anders“ bedeutet hier: Sie betrachten ein System nicht nur so, wie es gedacht ist, sondern auch so, wie es zweckentfremdet werden könnte. Die entscheidende Frage lautet deshalb nicht nur „Haben wir eine Regel?“, sondern „Wie könnte jemand trotz dieser Regel sein Ziel erreichen?“
Für die eigene Sicherheitsplanung heißt das beispielsweise: Ein gesperrter Zugang sollte nicht isoliert betrachtet werden, wenn daneben ein ungeprüfter Fernwartungsweg offenbleibt. Und ein dokumentierter Freigabeprozess verdient einen Praxistest, bei dem auch Zeitdruck, Ausnahmen und alternative Wege mitgedacht werden.
Hier setzt siplan als Lösungsanbieter für Sicherheitsplanung an: technische Schutzmaßnahmen, organisatorische Abläufe und tatsächliche Risiken gemeinsam betrachten. Nicht möglichst viele Vorschriften sollten das Ziel sein, sondern Schutz, der auch dann trägt, wenn jemand anders denkt als vorgesehen.
Jede Regel provoziert eine Ausnahme. Gute Sicherheitsplanung denkt diese Ausnahme mit.
Sie möchten wissen, wo Regeln in Ihrem Unternehmen nur auf dem Papier schützen? Prüfen Sie mit siplan, welche Umgehungswege Ihre Sicherheitsplanung berücksichtigen sollte.
