Diese Huawei-Nummer wird immer absurder. Aktuelle Gerüchtelage ist, dass unser Heimathorst das TKG ändern will, um Huawei auszuschließen [0]. Das geht so natürlich nicht, da kann man nicht einfach schreiben "Chinesen dürfen nicht liefern", das wäre juristisch angreifbar und offensichtlich wettbewerbsverzerrend. Daher muss man einen Weg finden, wie man das so formuliert, dass es für alle gilt, aber nur Huawei tatsächlich betrifft. Die Lösung des Innenministers?
>Demnach sollen künftig die Lieferanten der Netzbetreiber ihre Produkte unter Sicherheitsaspekten zertifizieren lassen und Sicherheitsgarantien abgeben. Diese Auflagen würden dann für alle gelten.
Wie üblich in der Politik klingt das kraftvoll und agil aber ist tatsächlich bloß heiße Luft. Security-Zertifikate gibt es wie Sand am Meer. Die einzigen, die sowas wie eine Aussage haben, sind amtliche Zertifikate nach Common Criteria, die werden dann vom BSI zertifiziert und da gibt es verschiedene Abstufungen (die tatsächliche technische Prüfung führt aber auch das BSI nicht selbst durch sondern beauftragt damit andere). Das Spektrum geht von Bullshit-Blablah über Quellcode-Audits bis hin zu formaler Verifikation. Ich weiß aus zuverlässiger Quelle, dass solche Zertifikate nie verweigert werden, sondern bloß wie beim TÜV Bedingungen gestellt werden, die halt Zeit und Geld kosten, und so eine Zertifizierung braucht dann auch mindestens ein Jahr, so als Hausnummer. Es geht hier um 5G. Die Hersteller sind froh, bei 5G überhaupt was anbieten zu können. Keiner der Hersteller kann da formale Verifikation vorweisen.
Die eigentliche Schranke ist daher meinem Verständnis nach, dass man von Huawei verlangen würde, dass sie ihren Quellcode rausrücken, damit der ordentlich auditiert werden kann. Und in der Tat ist das für viele Branchen und Unternehmen direkt ein Ausschlusskriterium. Allerdings nicht für Huawei. Hauwei hat bereits mit den Briten und Australien entsprechende Vereinbarungen unterschrieben, und die laufen auch schon seit vielen Jahren. Zwei der Five Eyes hatten also schon Zugriff, dann kann man das auch dem Rest der Welt zeigen. Und in der Tat erzählte mir heute ein Kumpel, dass Huawei in Brüssel ein Cyber Security Zentrum eröffnet hat, wo EU-Regierungen Einblick in den Quellcode nehmen können, und auditieren lassen, bis sie blau anlaufen.
Soviel also zur ersten Seehofer-Anti-Huawei-Forderung. Die ist damit ein Rohrkrepierer. Die zweite war: Sicherheitsgarantien abgeben. Da kann ich ja nur heiser lachen. Wer mein Blog schon länger liest, weiß, wie häufig ich hier aktuelle Cisco-Fuckups verlinke. Cisco ist besonders schlimm, aber die anderen Hersteller sind nicht so viel besser, dass sie ernsthaft Sicherheitsgarantien geben könnten im Sinne von "Sicherheitsschwankungen gibt es nicht, sonst haften wir". Das ist völlig illusorisch. Die kochen alle mit altem Spülwasser. Daher wird damit eher etwas gemeint sein wie "garantiert Updates innerhalb von diesem Zeitrahmen", und das kann Huawei natürlich genau so anbieten wie alle anderen. Das ist also auch ein Rohrkrepierer.
So und jetzt haben wir zwei Möglichkeiten. Entweder unser Horst ist zu blöde, um eine Formulierung zu finden, die Huawei wirklich ausschließt — ooooder unser Horst ist so schlau, den Amis eine Nebelwand-Formulierung hinzulegen, um die ruhigzustellen, damit dann doch alle Huawei kaufen (weil die preislich einfach mal die Hälfte der Konkurrenz aufrufen), und den Amis zu sagen, es tut uns leid, wir haben unser Bestes gegeben. Da bin ich gerade ein bisschen in der Zwickmühle. Ich würde mir natürlich gerne vorstellen, dass unser Innenminister schlau genug ist, die Amis so zu verarschen. Aber … der Seehofer?! Da fehlt mir gerade dir Vorstellungsgabe dafür.
[0] https://www.heise.de/-4307334
https://blog.fefe.de/?ts=a29d407d