Cybersecurity Clearinghouse
Ein Cybersecurity Clearinghouse ist eine zentrale Stelle, an der Unternehmen und Behörden Informationen über Angriffe im Internet und über Sicherheitslücken zusammentragen und untereinander weitergeben. Ziel ist, dass alle Beteiligten schneller von einer Gefahr erfahren, als wenn jeder nur seine eigenen Vorfälle kennt.
Wenn Kriminelle im Internet ein Unternehmen angreifen, merkt das zunächst nur dieses Unternehmen. Bei der nächsten Firma läuft der gleiche Angriff dann oft genauso erfolgreich. Ein Cybersecurity Clearinghouse soll das verhindern. Es ist eine zentrale Sammel- und Verteilstelle für Warnungen: Wer angegriffen wurde, meldet dorthin, was passiert ist. Die Stelle prüft die Meldung, entfernt Angaben, die einzelne Personen oder Firmen verraten würden, und schickt die Warnung an alle anderen Teilnehmer. Das Wort « Clearinghouse » kommt aus dem Bankwesen und bedeutet dort eine Stelle, die Zahlungen zwischen vielen Beteiligten verrechnet und weiterleitet.
Warum geteilte Angriffsdaten mehr wert sind als eigene
Ein Angreifer muss eine Methode nur einmal entwickeln und kann sie dann hundertfach einsetzen. Die Verteidiger dagegen arbeiten meist getrennt voneinander. Dieses Ungleichgewicht ist der Kern des Problems. Ein Clearinghouse dreht es teilweise um: Eine einzige Meldung schützt viele auf einmal.
Besonders wichtig ist das bei Angriffen auf Strom, Wasser, Krankenhäuser oder Banken. Diese Bereiche nennt man kritische Infrastruktur, weil ein Ausfall große Teile des Alltags trifft. Hier zählen Stunden. Wenn ein Energieversorger am Montag eine neue Schadsoftware entdeckt, sollen die anderen nicht erst durch die Zeitung davon erfahren.
Es gibt aber einen Grund, warum das nicht von allein passiert. Ein Unternehmen, das einen Angriff zugibt, riskiert schlechte Presse, sinkende Aktienkurse und Klagen von Kunden. Genau deshalb braucht es eine neutrale Zwischenstelle, die Meldungen anonymisiert weitergibt. In manchen Ländern gibt es zusätzlich rechtliche Zusagen: Wer freiwillig meldet, wird für die Meldung selbst nicht belangt.
Von der Meldung zur Warnung: der Weg durch die Stelle
Am Anfang steht eine Meldung. Sie enthält typischerweise technische Spuren des Angriffs, etwa die Internetadresse, von der er kam, oder den digitalen Fingerabdruck einer Schadsoftware. Solche Spuren nennt man in der Fachsprache Indikatoren. Sie sind wertvoll, weil andere ihre Systeme damit sofort durchsuchen können.
Danach folgt die Prüfung. Mitarbeiter oder automatische Systeme entscheiden, ob die Meldung glaubwürdig ist und ob sie sich mit anderen Meldungen deckt. Falschmeldungen sind ein echtes Risiko: Eine harmlose Adresse, die versehentlich als gefährlich gilt, kann bei vielen Firmen gleichzeitig funktionierende Dienste blockieren. Anschließend werden Angaben entfernt, die auf das meldende Unternehmen zurückführen.
Erst dann geht die Warnung hinaus, meist nicht per E-Mail an Menschen, sondern automatisch an die Schutzprogramme der Teilnehmer. Damit das über Ländergrenzen hinweg klappt, nutzen die Beteiligten einheitliche Datenformate. Verbreitet ist etwa STIX, eine festgelegte Schreibweise für Bedrohungsinformationen. Ohne solche Standards müsste jede Firma jede Meldung von Hand übersetzen, und der Zeitvorteil wäre verloren.
Clearinghouses in Gesetzen, Behörden und Produkten
In den Nachrichten tauchen solche Stellen häufig unter anderen Namen auf. In Deutschland sammelt das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, Meldungen von Betreibern kritischer Infrastruktur. Auf EU-Ebene schreibt eine Richtlinie namens NIS2 vielen Unternehmen vor, schwere Vorfälle innerhalb kurzer Frist zu melden. In einzelnen Branchen gibt es zusätzlich eigene Austauschringe, oft ISAC genannt, etwa für Banken oder Autohersteller.
Auch in der KI-Welt wird der Begriff inzwischen benutzt. Dort geht es darum, Schwachstellen von KI-Modellen zu melden, zum Beispiel Eingaben, die Sicherheitsregeln aushebeln. Mehrere Hersteller und Forschungsgruppen haben dafür gemeinsame Meldestellen vorgeschlagen, weil die gleiche Lücke oft bei vielen Modellen funktioniert.
Wichtig ist die Abgrenzung zu ähnlichen Begriffen. Ein Clearinghouse ist keine Software, die Angriffe abwehrt, und auch keine Polizeibehörde, die Täter verfolgt. Es ist eine Organisation für Informationsfluss. Ein häufiger Irrtum ist zudem, dass dort alle Details öffentlich würden. In der Regel gilt das Gegenteil: Wer welche Information sehen darf, ist genau geregelt.