13. Anhörung im LIBE Ausschuss des Europäischen Parlaments [Update]

Heute um 15.00Uhr findet die mittlerweile 13. Anhörung zum Überwachungsskandal durch den Ausschuss Bürgerliche Freiheiten, Justiz und Inneres im Europäischen Parlament statt. Das Programm gibt es hier. Die Themen:

Session I: IT-Sicherheit von EU-Institutionen

• Hr. Burgersdijk, European Cyber Crime Center (Europol)
• Prof. Helmbrecht, European Agency for Network and Information Security (ENISA)
• Hr. Walther (scusi), IT-Sicherheit Consultant

Session II: Zwischenstand der Arbeitspapiere (Liste)

• US and EU Members States surveillance practices and their impact on EU citizens‘ rights
• Foreign Policy Aspects of the Inquiry on Electronic Mass Surveillance of EU Citizens
• Democratic oversight of intelligence services
• Relation between the surveillance practices in the EU and the US and the EU data protection provisions

Session III: Auswirkungen der Massenüberwachung auf die Vertraulichkeit des Anwalt-Klienten Verhältnisses

• Hr. Goldsmith, Council of Bars and Law Societies fo Europe

Auch dieses Mal werden wir wieder über die Anhörung berichten. Live-Stream

+++++

Session I: IT-Sicherheit von EU-Institutionen

• Burgersdijk: Europol wird streng kontrolliert und Mitarbeiter sind gut geschult. Strikte Regeln sichern die gesamte Kommunikation. Wie schon bei anderen Verantwortlichen europäischer Sicherheitsbehörden erhält man bei Burgersdijk den Eindruck, er wolle vor allem allen Anwesenden klar machen, dass Europäische Netzwerke sicher seien. Er plädiert jedoch für mehr Kooperation zwischen den Behörden, um Licht in den Überwachungsskandal zu bringen.
• Helmbrecht: „In den heutigen Geschäftsmodellen des Internets sind persönliche Daten die Währung.“ Bei einer Umfrage, die unter Helmbrecht durchgeführt wurde, gaben Nutzer bereitwillig ihre Telefonnummer beim Buchen eines Bahntickets für 50€ an, wenn es dafür einen Rabatt von 50 Cent gab. Kritisiert, dass es sehr gute Verschlüsselung gibt, die jedoch nicht umfassend in der Wirtschaft – und Behörden – eingesetzt wird. Im weiteren hat er vor allem seine eigenen Initiativen und Arbeit vorgestellt.
• Walther (Scusi): Penetrationtester seit 12 Jahren. Wenn man über Sicherheit redet, spricht man immer über eine Balance zwischen verschiedenen Aspekten. Es gibt keine „absolute Sicherheit“ – hierbei spielen Angreifer, Motive und Wichtigkeit der Daten eine Rolle. „So lange man mehr Geld für Klopapier ausgibt, als für IT-Sicherheit ist es kein Wunder, dass die NSA die EU-Behörden abhören und hacken.“ Problem ist, dass die EU Institutionen sehr wahrscheinlich gar nicht wissen, dass sie gehacked wurden. Daher ist es entscheidend Emergency Response Teams für solche Situationen zu haben: Es braucht gut ausgebildete und genügend IT-Sicherheitsexperten und Administratoren.

(Der Vorsitzende scheint sich etwas auf den Fuß getreten zu fühlen – vermutlich von Scusis ‚direkter‘ Art.)

Fragerunde Session I

• Warum gibt es keine Untersuchungen u.a. in dem Belgacom-Fall durch Europol?

Das European Cyber Crime Center, Teil von Europol, geht organisiertem Verbrechen nach – in Fällen in denen es Anklagen in den jeweiligen Mitgliedsstaaten gibt. Im Endeffekt: Keine Priorität, ausschließlich Verfolgung organisierten Verbrechens.

• Sind Open Source Lösungen besser im Bereich IT-Sicherheit?

IT-Sicherheit ist ein Kostenfaktor – außer, wenn man IT-Sicherheitsprodukte herstellt. Plädiert für Haftung von Softwareherstellern für Fehler in der Software. Das EU Parlament könnte das ändern, indem Softwarehersteller zur Verantwortung gezogen werden, wenn es Sicherheitslücken in der Software gibt. Weiterer Vorteil: Man kann den Code lesen und somit Backdoors wesentlich besser / überhaupt entdecken. (scusi)

Selbst wenn man Teil eines Botnetzes ist, da der eigene PC infiziert wurde, kann man weiter – ohne jegliche Pflichten oder Verantwortungen – sich im Netz bewegen. Wenn Softwarehersteller zur Verantwortung gezogen werden, solltene s auch Nutzer. (Burgersdijk)

• Könnte es einen Edward Snowden in Europa geben?

Vertragsdienstleister kriegen laut Burgersdijk keinen direkten Zugang zu den operativen Systemen. (Burgersdijk)

• Wie kann man die Europäischen Institutionen besser schützen?

Eine Kombination aus Wissen bzw. Bildung – wie man mit den technischen Systemen und Software umgeht – und entsprechend gut konfigurierten technischen Systemen. Und, wie vorher erwähnt, bessere Ausbildung für Administratoren und größeres Budget. (scusi)

• Europol und das Nicht-Untersuchen der Cyber-Angriffe wird scharf kritisiert: Gab es andere EU-Behörden oder Mitgliedsstaaten, die um die Kooperation von Europol gebeten haben? (Albrecht)

Burgersdijk weicht auf allen Ebenen aus. Europol habe keine Möglichkeiten selbst etwas vor ein EU-Gericht zu bringen. Hängt angeblich alles von Mitgliedsstaaten ab – wann diese sagen, dass in einem bestimmten Fall mit der Hilfe von Europol ermittelt werden soll. (Burgersdijk)

• Was ist die Aufgabe der ENISA wenn nicht der Schutz der europäischen IT-Infrastruktur?

ENISA kann nur Empfehlungen aussprechen, da es nicht operativ tätig werden kann. Wird von den Mitgliedsstaaten nur spärlich mit Informationen versorgt. (Helmbrecht)

+++++

Session II: Zwischenstand der Arbeitspapiere (Liste)

• US and EU Members States surveillance practices and their impact on EU citizens‘ rights (Moraes)

Erkenntnisse: Technischer Fortschritt gepaart mit schwacher (parlamentarischer) Aufsicht und keiner vorangegangenen öffentlichen Debatte haben zum heutigen Ausmaß der massenhaften Überwachung geführt. Durch die Snowden Enthüllungen sieht man, wie weit die Regierungen gehen, um Journalisten und Whistleblower zu unterdrücken und einzuschüchtern.

• Report of the LIBE delegation to Washington (Moraes)

Sehr erkenntnisreiche Zusammenarbeit mit Abgeordneten und Offiziellen in Washington D.C. Es scheint, dass er vor allem darüber spricht, wie wertvoll dieser Bericht und die Gespräche waren – ohne über den Bericht und Ergebnisse zu reden. *yay*

• Foreign Policy Aspects of the Inquiry on Electronic Mass Surveillance of EU Citizens (Moraes, Gomes, Salafrance, Neyts-Uyttebroeck)

Frau Gomes findet deutlichere und kritischere Worte für das Meeting und die Attitude der US amerikanischen Regierung. Sie sagt dass das größte Problem die extrem schwache Kontrolle und Aufsicht über die US amerikanischen Geheimdienste.

• Democratic oversight of intelligence services

Identische Standards für die Aufsicht über nationale Geheimdienste und Auslandsaufklärung in allen Mitgliedsstaaten der EU.