Zusammenfassung

  • APNIC Blog berichtete am 14. September, vier Verantwortliche aus Forschungs- und Bildungsnetzen hätten während der APAN62 im August die Auckland Declaration of Intent on Cyber Resilience unterzeichnet.
  • Die Mitteilung verbindet Vertrauensaufbau, Vorsorge, Informationsaustausch, Vorfallkoordination und gegenseitige Unterstützung mit einer klaren Grenze: nationales Recht und institutionelle Regeln müssen die Handlung erlauben.
  • Die geprüften Seiten veröffentlichen weder die Erklärung selbst noch einen Anfragekanal, Entscheidungsverantwortlichen, Reaktionszeitraum, Datenrahmen oder Übungsnachweis. Eine öffentliche Koordinationskarte mit geschütztem Betriebsanhang könnte Zuständigkeit zeigen, ohne sensible Abläufe offenzulegen.

Kooperationsversprechen scheitern im Ernstfall selten am Verb. „Unterstützen“, „teilen“ und „koordinieren“ klingen eindeutig. Unklar wird es bei den Subjekten: Wer darf welche Information an wen geben, und wer darf danach tatsächlich handeln?

Die öffentliche Mitteilung zur Auckland-Erklärung setzt einen sinnvollen Ausgangspunkt. Genannt werden Amber McEwen von REANNZ, Shinji Shimojo als Vorsitzender des APAN Board, TEIN*CC-Präsident Jungsu Song sowie Roshan G. Ragel, der für das APAN/Asi@Connect Leaders Forum unterzeichnete. Die Partner wollen außerdem eine regionale Gliederung der Global Security Policy Alliance oder eine ähnliche Struktur prüfen und dabei lokale Prioritäten und Autonomie bewahren.

Für Forschungsnetze ist Vorbereitung vor dem Zwischenfall besonders wichtig. Ein wissenschaftlicher Datenweg kann von einem Campus über ein nationales Netz, internationale Verbindungen und Rechenzentren bis zu einer Einrichtung in einem anderen Staat reichen. Eine Störung betrifft dann dieselbe Zusammenarbeit, verteilt Beobachtung, Betrieb und rechtliche Verantwortung aber auf verschiedene Organisationen.

Darum ist der Vorbehalt der Mitteilung wesentlich: Unterstützung erfolgt, soweit nationales Recht und institutionelle Regeln sie zulassen. Eine regionale Vereinigung kann keine Universität zur Herausgabe von Protokolldaten zwingen, keine Änderung in einem fremden Netz genehmigen und keine gesetzliche Meldepflicht übernehmen. Eine gemeinsame Unterschrift vereinigt keine Mandate.

Offen bleibt, wer diese Grenze im konkreten Fall auslegt. Auf den geprüften Seiten von APNIC, APAN62, APAN und REANNZ ist der Wortlaut der Erklärung nicht verlinkt. Damit ist öffentlich nicht erkennbar, ob die jeweilige Unterschrift eine juristische Person, ein Forum oder ein Amt bindet, wie weitere Mitglieder beitreten und wann die Vereinbarung überprüft wird. Ebenso fehlen ein authentisierter Meldeweg, Betriebszeiten, ein Ziel für die Eingangsbestätigung, Schweregrade und eine Rolle, die Unterstützung annehmen, ablehnen oder weiterverweisen darf.

Solche Informationen können in der unterzeichneten Erklärung oder in internen Unterlagen stehen. Ihr Fehlen im offenen Dossier beweist weder mangelnde Vorbereitung noch einen Verstoß. Es verhindert jedoch, dass ein Mitglied den Weg vom regionalen Bekenntnis bis zur befugten lokalen Handlung allein anhand der öffentlichen Unterlagen nachvollzieht.

Ein gemeinsames Problem schafft keine gemeinsame Befehlsgewalt

APAN ist nach eigener Darstellung sowohl die Mitgliedervertretung als auch das Rückgrat zwischen Forschungs- und Bildungsnetzen der Region. REANNZ ist Mitgliederorganisation und zugleich ein staatseigenes neuseeländisches Unternehmen mit eigenem Aufsichtsweg. Hochschulen, nationale Netze, regionale Foren, Reaktionsteams und Behörden handeln daher aus unterschiedlichen Zuständigkeiten.

Die betroffene Einrichtung kann ihre Beobachtung melden. Das nationale Netz kann Auswirkungen auf Wege oder Dienste prüfen. Eine regionale Stelle kann Partner finden, eine Lagebesprechung einberufen und Beobachtungen zusammenführen. Andere Mitglieder können Fachwissen oder Kapazität anbieten. Eine Konfigurationsänderung, lokale Beweissicherung oder Risikoannahme genehmigt in der Regel nur der jeweilige Systemverantwortliche. Für gesetzliche Meldungen kann noch eine weitere Stelle zuständig sein.

Ein belastbarer Vorgang braucht deshalb mehrere Zustände: eingegangen, authentisiert, eingegrenzt, teilbar, angenommen, delegiert, ausgeführt und geschlossen. Abgelehnt, verwiesen und auf Freigabe wartend gehören ebenso dazu.

Ohne diese Trennung wirkt eine automatische Empfangsbestätigung wie angenommene Hilfe. Ein Teilnehmer an einer Schalte erscheint als Entscheider über das Netz. Ein weitergereichter Indikator verliert seine Einschränkung. Ein Partner, der Daten rechtlich nicht entgegennehmen darf, gilt als untätig. Vertrauen entsteht nicht dadurch, diese Grenzen zu verschweigen, sondern dadurch, sie vorab routbar zu machen.

Eine TLP-Kennzeichnung erteilt keinen Arbeitsauftrag

Das Traffic Light Protocol von FIRST verwendet TLP:RED, TLP:AMBER, TLP:GREEN und TLP:CLEAR, um die erlaubte Weitergabe potenziell sensibler Informationen anzugeben. Bei einem Vorfall mit Hochschulen, Netzbetreibern, Lieferanten und öffentlichen Stellen schafft es eine gemeinsame Sprache.

Die Kennzeichnung belegt aber weder die Offenlegungsbefugnis des Absenders noch die Speicherbefugnis des Empfängers. Sie genehmigt keinen Eingriff und garantiert keine verfügbare Einsatzkapazität. Ein dringender TLP:AMBER-Indikator kann bei einem Team ohne Systemzugriff ankommen. Eine TLP:CLEAR-Beobachtung darf breit verteilt und trotzdem falsch sein.

Vier Entscheidungen bleiben getrennt: Darf der Sender offenlegen? Darf der Empfänger annehmen? Darf dessen Institution handeln? Hat der verantwortliche Betreiber die Handlung akzeptiert? Eine Farbe kann diese vier Autoritätsgrundlagen nicht ersetzen.

Ein BCP von 1998 zeigt eine sparsame Öffentlichkeit

RFC 2350 beschreibt allgemeine Erwartungen an Computer Security Incident Response Teams. Es trennt deren Zielgruppe von ihrer Befugnis und nennt Kontaktangaben, Betriebszeiten, Vorfallarten, Unterstützungsumfang, Zusammenarbeit, Offenlegung und sichere Kommunikation als zu klärende Punkte.

Das Dokument gilt nicht als Regel für die Auckland-Erklärung; die Unterzeichner haben seine Übernahme nicht angekündigt. Es liefert lediglich ein brauchbares Gestaltungsprinzip: Eine öffentlich auffindbare Betriebshülle muss kein Ermittlungs- oder Reaktionshandbuch preisgeben.

Mitglieder können erfahren, wohin sie melden, welche Reaktion sie erwarten dürfen und wer über den nächsten Schritt entscheidet. Persönliche Rufketten, Schlüssel, Netztopologien, Rechtsberatung und technische Abläufe bleiben geschützt. Transparenz bezieht sich auf Zuständigkeit und Grenze, nicht auf jedes Arbeitsmittel.

Öffentliche Karte, geschützter Anhang

Die öffentliche Ebene sollte die aktuellen Unterzeichner und ihre vertretenen Bereiche nennen. Sie muss ausweisen, ob eine juristische Person, ein Forum oder ein Amt gebunden ist, den offiziellen Anfrageweg angeben, die Rolle für Annahme, Ablehnung oder Verweis nennen und Wirksamkeits-, Prüf-, Beitritts- und Austrittsdaten erhalten.

Auch Zustände können öffentlich sein, ohne den Fall zu öffnen: Quelle bestätigt, Freigabe ausstehend, Hilfe angenommen, Hilfe abgelehnt, an lokalen Betreiber übergeben, abgeschlossen. Zusammengefasste Zahlen und Übungsberichte zeigen Nutzung, ohne Betroffene zu identifizieren.

Der geschützte Anhang enthält verifizierte Kontakte, Schlüssel, Zeitzonen, Schwellen, teilbare Datenfelder, TLP-Regeln, nationale Einschränkungen, Lieferantenabhängigkeiten, Eskalationsstufen und Ersatzkanäle. Jeder Eintrag erhält einen Verantwortlichen und ein letztes Testdatum. Eine Anfrage erzeugt einen Beleg über Antragsteller, gewünschte Handlung, angewandte Grenze, Entscheider, Autoritätsgrundlage und nächsten Übergang.

Das wäre kein regionales Kommando. Eine Koordinationsstelle kann weiterleiten und dokumentieren, ohne Mitgliedernetze zu steuern. Es wäre auch kein Urteil, die neue Erklärung sei gescheitert; die regionale Struktur soll erst geprüft werden.

Der praktische Test lautet: Kann ein Mitglied bei einem grenzüberschreitenden Vorfall die erste gültige Anfrage, die erste zurechenbare Entscheidung und die Grenze finden, die das regionale Versprechen nicht überschreiten darf? Das öffentliche Dossier reicht dafür noch nicht.

Quellen