Security through obscurity

Wer etwas schützen will, hat zwei Möglichkeiten. Er kann ein echtes Schloss anbringen, das auch dann hält, wenn jeder es sieht. Oder er kann sein Wertstück einfach gut verstecken und hoffen, dass niemand den Ort kennt. Security through obscurity ist die zweite Variante, übertragen auf Computer und Software. Der Schutz beruht nicht auf einer stabilen Sperre, sondern darauf, dass Angreifer bestimmte Details nicht kennen: eine versteckte Adresse, einen ungewöhnlichen Aufbau, einen unveröffentlichten Trick. Der englische Ausdruck bedeutet wörtlich « Sicherheit durch Undurchschaubarkeit » und ist in der Fachwelt meist als Kritik gemeint.

Warum Verstecken kein Schloss ersetzt

Das Problem ist die Haltbarkeit. Ein Geheimnis kann nur einmal verloren gehen, danach ist es für immer weg. Wenn jemand den versteckten Zugang findet und ihn in einem Forum postet, ist der Schutz nicht geschwächt, sondern vollständig verschwunden. Ein gutes Verschlüsselungsverfahren dagegen bleibt sicher, selbst wenn jeder genau weiß, wie es aufgebaut ist.

Deshalb gilt in der Sicherheitsforschung seit dem 19. Jahrhundert das Kerckhoffs-Prinzip. Es besagt: Ein Verfahren muss auch dann sicher sein, wenn der Angreifer alles darüber weiß — außer dem Schlüssel. Geheim bleibt also nur ein austauschbares Passwort, nicht die Bauweise des Systems. Genau darum werden Verschlüsselungsverfahren wie AES öffentlich veröffentlicht und jahrelang von Forschern angegriffen, bevor man ihnen traut.

Ein zweites Problem ist die falsche Ruhe. Wer sich auf ein Versteck verlässt, baut oft gar keine richtige Absicherung ein. Man erkennt die Lücke erst, wenn sie schon ausgenutzt wurde. Wichtig ist aber die Abgrenzung: Verschleierung ist nicht verboten, sie darf nur nicht die einzige Verteidigungslinie sein. Als zusätzliche Hürde neben echten Maßnahmen kann sie durchaus Angriffe verlangsamen.

Typische Formen der Verschleierung

Eine häufige Variante ist das Verstecken durch Adressen. Eine Datei liegt öffentlich im Internet, aber unter einem sehr langen, kaum zu erratenden Namen. Solange niemand die Adresse kennt, funktioniert das. Sobald sie in einer Chatnachricht weitergeleitet oder von einer Suchmaschine erfasst wird, ist die Datei für alle offen.

Eine zweite Variante ist der veränderte Standardweg. Programme erreichen einen Server über nummerierte Zugänge, sogenannte Ports. Der Fernzugang für Administratoren liegt normalerweise auf Nummer 22. Wer ihn auf 2222 verlegt, reduziert die automatischen Massenangriffe deutlich, weil Suchprogramme meist nur die Standardnummern durchprobieren. Ein gezielter Angreifer scannt aber einfach alle Nummern und findet den Zugang in Sekunden.

Dazu kommt das Verschleiern von Programmcode, auf Englisch Obfuscation. Der Code wird absichtlich unleserlich gemacht, Variablen heißen dann etwa « a1 » statt « passwortPruefung ». Das hält Neugierige auf, aber keine Fachleute mit den passenden Werkzeugen. Der klassische Fehler ist ein Passwort, das fest im Programmcode steht und nur schlecht getarnt ist. Solche Zugangsdaten werden regelmäßig aus Apps ausgelesen.

Wo der Begriff in Schlagzeilen auftaucht

Man liest ihn meist nach einem Datenleck. Wenn Kundendaten öffentlich im Netz lagen und nur ein zufälliger Link davor stand, folgt in der Analyse fast immer der Vorwurf, hier sei Security through obscurity betrieben worden. Ähnlich läuft die Kritik an geschlossenen Systemen, deren Hersteller Sicherheitslücken lieber verschweigen als beheben.

Auch in der Debatte um offene und geschlossene KI-Modelle spielt das Argument eine Rolle. Manche Anbieter halten den Aufbau ihrer Modelle geheim, unter anderem aus Sicherheitsgründen. Kritiker halten dem entgegen, dass Schwachstellen so nur unentdeckt bleiben, nicht verschwinden. Offene Modelle, deren Details veröffentlicht sind, werden dagegen von vielen Forschern gleichzeitig geprüft.

Im Alltag betrifft das Prinzip auch das eigene WLAN. Den Netzwerknamen zu verstecken gilt als Verschleierung — das Netz sendet trotzdem Signale und ist mit einfachen Programmen sichtbar. Was wirklich schützt, ist ein langes Passwort und ein aktuelles Verschlüsselungsverfahren. Die Faustregel lautet: Verstecken darf helfen, tragen muss das Schloss.