Mangelhafte IT-Sicherheit ist ein wirtschaftliches Problem

Am Abschlusspanel der RSA-Konferenz in Wien hat der amerikanische Sicherheits-Guru Bruce Schneier mit einer interessanten These provoziert, wie "Heise Online" berichtet. Schneier zufolge ist die mangelnde Sicherheit von IT-Systemen weniger ein technisches, als vielmehr ein wirtschaftliches Problem. So würden die Kosten für Sicherheitslücken nicht von denen getragen, die sie verursachen, sondern von denen, die unter ihnen leiden. Das Gerede von besserer Aufklärung und Fortbildung der Anwender bedeute im Klartext: "Wir machen schlechte Software, und jetzt zeigen wir dir mal, wie du sie benutzen musst."

Indirekt fordert Schneier deshalb Gesetze, die Geschädigten erlaubten, Hersteller für Fehler und kompromittierte Sicherheit haftbar zu machen. Dieser Vorschlag erntete allerdings heftigen Widerspruch. Harris Miller, Präsident der Information Technology Association of America (ITAA), warnte vor den negativen Konsequenzen der Regulierung auf Innovationen. Und Michael Colao, Chef Information Security bei Dresdner Kleinwort Wasserstein, meinte, dass "dieses Heilmittel übler ist als die Krankheit selbst". In globalen Märkten seien lokale Gesetze auch global, was die Hersteller vor riesige Probleme setze. Ausserdem seien Gesetze reaktiv und von Lobbyisten gemacht, nicht aber von den Betroffenen.


Einig waren sich die Experten nur in einem: die Regulierung wird kommen, und zwar bei den Internet Providern.