Veranstaltungsprogramm

Digitale Infrastrukturen durchdringen zusehends alle Facetten gesellschaftlicher Grundfunktionen und werden zu einem kritischen Faktor in ihrer Aufrechterhaltung. Da sie in Form kritischer Informationsinfrastrukturen bereits Bestandteil anderer kritischer Infrastrukturen sind, wird Cybersicherheit zu einer geradezu existenziellen Aufgabe. Dabei sehen sich Betreiber kritischer Informationsinfrastrukturen mit einer Fülle an Herausforderungen in ihrer Systembeschaffenheit und Umwelt konfrontiert: von der Konvergenz physischer und digitaler Infrastrukturen bis hin zu Cybercrime, -terror und -krieg. Trotz aller Widrigkeiten behaupten sich die Betreiber noch in dem Unterfangen eine hohe Verfügbarkeit ihrer Infrastruktur zu gewährleisten. Doch welche sozialen Strukturen und Fähigkeiten benötigen sie für einen sicheren Betrieb? Welche Bewältigungsstrategie wird einem so schwer zu antizipierendem Feld an potenziellen Bedrohungen noch gerecht?

Mit dem Brückenkonzept der Resilienz präsentiere ich eine mögliche Antwort auf diese Fragen. Resiliente Organisationen kultivieren Fähigkeiten, mit denen sie notwendige Operationen unter allen Umständen aufrechterhalten. Eine soziologische Herangehensweise wirft jedoch die Frage auf, was unter notwendigen Operationen zu verstehen ist? Und ab wann diese resilient sind? In Anbetracht zahlreicher Akteure, die kritische Informationsinfrastrukturen betreiben, regulieren oder von ihnen abhängen, scheint eine einfache Antwort nicht möglich. Viel mehr sind Kern und Resilienz jener Infrastrukturen keine feststehende Einheit. Sie werden durch verschiedene Stakeholder ko-konstituiert, weshalb Resilienz immer auch durch Kontingenz und Transformation geprägt ist.

Mein Beitrag besteht in einem soziologisch informierten Resilienzkonzept, das ein neues Licht auf die drängenden Herausforderungen der Dynamik digitaler und kritischer Infrastrukturen wirft. In semistrukturierten Interviews mit zentralen Organisationen an der Schnittstelle von kritischen Informations- und Energieinfrastrukturen wurde jenes Konzept erprobt und überarbeitet. Aus den Interviews werden erste Zwischenergebnisse präsentiert, welche die soziomaterielle Bedingtheit von Cybersicherheit in der Dynamik digitaler und kritischer Infrastrukturen verdeutlichen.

Während Luhmanns Feststellung ‚Alles was wir wissen, wissen wir aus Massenmedien‘ schon zur Binsenweissheit geworden ist, so sind doch die sozio-technischen Infrastrukturen unserer Informationsaufnahme, aber auch unserer bidirektionalen und netzförmigen Kommunikation zur Basis des alltäglichen Lebens geworden. Durch die breite Durchdringung nahezu aller Gesellschaftsbereiche durch die sogenannte Digitalisierung ergeben sich Verwundbarkeiten und Unwägbarkeiten die mit Unsicherheiten verbunden sind. Während im Diskurs exzeptionalisitische Gefahrennarrative von russischen oder auch chinesischen Hackern oder dem amerikanischen Geheimdienst vorherrschen, sind die Gefahren doch häufig latent, durch die Verwundbarkeit einer Vielzahl von Geräten und der eher unwissenden Korrumpierung von IT, und allein die einfachen Möglichkeiten von Identitätsdiebstahl und Ransomware-Attacken.

Die omnipräsenten Feindbilder von Geheimdiensten und Wirtschaftsspionen veranschaulichen die starken diskursiven und politischen Kämpfe die im Feld ausgetragen werden. Sicherheit durch und trotz Verschlüsselung ist das paradigmatische Contradictio in adiecto, an dem sich paternalistische Interessen einer Sicherheitspolitik die ihre Bürger:innen zu ihrem eigenen Schutz kontrollieren und überwachen möchte in direktem Widerspruch mit der technischen Sicht einer systemischen, mathematischen Sicherheit als Conditio sine quo non einer sicheren Informationsgesellschaft befindet. Jenseits einer Verantwortungszuweisung an das Individuum im Sinne einer neoliberalen Responsibilisierung – die als minimaler Konsens nur wenig Kritik erfährt – scheiden sich bei der Frage von offensiver vs. defensiver „Cyberabwehr“ und bei der Frage von technischer Sicherheit vs. Staatssicherheit die Geister.

Im Vortrag werden verschiedene Diskurs-Pole aus dem Feld der „Cybersicherheit“ kontrastiert und Diskurslinien, Allianzen und Gegensätze zwischen Akteuren und Akteursgruppen aufgezeigt. Dies geschieht vor dem Hintergrund des Projekts „Dialog für Cybersicherheit“ des Bundesamtes für Sicherheit in der Informationstechnik indem diese Diskurse zum Teil in einem partizipativen Multi-Stakeholder-Ansatz geführt werden. Abschließend werden weitere Anknüpfungpunkte für soziologische Betrachtungen von Cybersicherheit diskutiert.

Cybersicherheit hat sich zu einem zentralen Bestandteil der deutschen Innen- und Außen- sowie der Sicherheits- und Verteidigungspolitik entwickelt und erfordert als gesamtstaatliche und -gesellschaftliche Querschnittsaufgabe die Einbindung verschiedenster Akteure und Politikbereiche. Aus institutioneller Perspektive hatte und hat dies beispielsweise die Schaffung neuer Behörden oder thematischer Informationsaustausch- und Kooperationsplattformen sowie die Beteiligung bereits bestehender Akteure am Cybersicherheitsdiskurs zur Folge, die vorher keine oder nur wenige Berührungspunkte mit IT-Sicherheit hatten. Diese Dynamik wurde und wird durch neue Herausforderungen wie zunehmende Cyberkriminalität, die Wahrnehmung ziviler und militärischer Aufgaben sowie fortschreitende Digitalisierung und Internationalisierung unterstützt. Mit dem Aufwuchs von (inter)nationalen Akteuren und einem Wachstum untereinander bestehender Verbindungen hat sich im Laufe der Zeit ein dichtes und komplexes Akteursnetzwerk mit zahlreichen Verknüpfungen zwischen und innerhalb nationalen als auch internationalen Ebenen wie der EU oder der NATO herausgebildet, in das die deutsche Cybersicherheitspolitik eingebettet ist. Dieses kann man als Cybersicherheitsarchitektur eines Landes bezeichnen und umfasst alle Akteure – Behörden, Plattformen, Organisationen usw. –, die gemäß der nationalen Definition von Cybersicherheit Teil des nationalen und internationalen Ökosystems sind. Der staatliche Teil dieser Cybersicherheitsarchitektur ist Gegenstand einer Veröffentlichung der Stiftung Neue Verantwortung, die ein visualisiertes Mapping dieses Ökosystems für Deutschland samt Erläuterungen zu den Akteuren und ihren Verknüpfungen enthält. Auf dieser Basis möchte dieser Vortrag Einblicke in die Entwicklung und den Status quo der deutschen Cybersicherheitsarchitektur liefern und das Zusammenspiel zwischen verschiedenen politischen Ebenen adressieren.

Der Beitrag präsentiert ein soziologisches Forschungsprojekt zu Informationssicherheit. Das Projekt befindet sich in der Anfangsphase und ist im Bereich der Praxissoziologie angesiedelt, speziell in den ethnomethodologischen Workplace Studies, und widmet sich der Arbeit von IT-Sicherheitsforscher*innen und -ingenieur*innen. Bereits in diesem frühen Stadium lassen sich auf Basis praxisbezogener Diskursproduktionen des Feldes zunächst drei vielversprechende soziologisch relevante Anknüpfungspunkte festmachen, die ich weiterverfolgen und am Material diskutieren möchte: Erstens, das hochreflektierte Soziologisieren der Teilnehmer*innen im Rahmen praktischer Problemstellungen. Dies äußert sich etwa im Kartographieren der Infrastruktur der zu sichernden Systeme, dem Kategorisieren von verwendeter Hard- und Software und dem Nachvollzug zugangsrelevanter sozialer Konventionen, wodurch Schwachstellen identifiziert und der Rahmen möglicher Problemlösungen abgesteckt werden. Zweitens, ein spannungsreicher Umgang mit Sicherheit, der nicht allein defensiv abläuft, sondern stets auch offensive Kompetenzen beinhaltet. Das zeigt sich einerseits im – gleichermaßen teilnehmer*innensoziologisch – umfassenden Klassifizieren von Angriffstechniken bis hin zu detaillierten Rekonstruktionen der Arbeitsweise von Angreifer*innen. Andererseits sind, etwa für das Durchführen von Penetrationstests, viele Sicherheitsforscher*innen selbst geübt in offensiven Techniken, und zum Teil bewegen sie sich im Rahmen ihrer Forschungstätigkeit in rechtlichen Grauzonen. Drittens schließlich hat sich konzeptionell bislang ein heuristischer Zugang zum Gegenstand bewährt, der eine für das 'doing security' zentrale praktische Disposition des Einsatzes, Manipulierens, Irritierens und Ausnutzens von Grenzen und Grenzziehungen identifiziert. Die weiter zu verfolgende soziologische Intuition ist, dass diese Disposition im Feld der Cybersicherheit zwar besonders im Vordergrund steht und beobachtbar wird, insbesondere aber auch Aufschluss geben kann zu den alltäglichen 'boundary manipulations' im Geiste Goffmans und Garfinkels, die eine konstitutive Rolle für das Gelingen sozialer Situationen spielen. Cybersicherheit ist damit auch aus soziologisch situationistischer Sicht als exemplarisches und zentrales soziologisches Untersuchungsfeld markiert.