5G-Netz in Deutschland Cybersicherheit oder berechtigte Angst vor Huawei?

Anbieter zum Thema

HUAWEI TECHNOLOGIES Deutschland GmbH

Securepoint GmbH

bb-net media GmbH

XOPERO SOFTWARE S.A.

Komponenten des chinesischen Technologieanbieters Huawei stehen bereits seit Jahren im Fokus der Politik. Der Grund: Vermutungen, dass etwa Spionagetechnik darin verbaut sein könnte. Nachgewiesen ist bis heute nichts. Geht es tatsächlich um Cybersicherheit – oder steckt etwas anderes hinter den Vorwürfen?

Die Diskussion über ein Verbot von Huawei-Komponenten ist für das Unternehmen nicht neu. Seit März diesen Jahres prüft die Europäische Union die Verwendung kritischer Komponenten von Huawei für den 5G-Mobilfunk. Worum geht es genau? Dazu schauen wir uns das Thema Cybersicherheit in der Telekommunikation genauer an und haben mit Patrick Berger von Huawei gesprochen. Er ist Head of Media Affairs.

Herr Berger, es wird von Seiten der Politik immer von einem Verbot von Komponenten für 5G gesprochen. Können Sie das präzisieren?

Seit März diesen Jahres läuft ein Evaluierungsprozess, der aber noch nicht abgeschlossen ist. So hat das Bundesinnenministerium gesagt, was es sich als Sicherheitsbehörde vorstellt. Das ist aber noch nicht im Detail ausgearbeitet und innerhalb der Regierung abgestimmt. Der Einsatz kritischer Komponenten in Infrastrukturen ist im BSI-Gesetz geregelt. Dieses Gesetz wurde noch von der Vorgängerregierung im Jahr 2021 novelliert. Wichtig ist, dass diese nicht spezifisch für 5G-Netze ist, sondern generell für kritische Infrastrukturen gelten kann. Das können beispielsweise auch Energienetze sein.

Bei der Anwendung des Gesetzes auf spezifische kritische Komponenten in 5G-Netzen kommt das Telekommunikationsgesetz zum Tragen. Hier gibt es einen Sicherheitskatalog als Anlage. Dieser wird unter Federführung der Bundesnetzagentur erarbeitet. Die Experten tauschen sich mit dem BSI aus. In dieser Anlage ist geregelt, was kritische Funktionen in Mobilfunknetzen sein können. Wichtig für das Verständnis ist, dass es nicht die eine Netzarchitektur gibt. Es gibt beispielsweise die Single-RAN-Architektur und es gibt den Open-RAN-Ansatz, den beispielsweise 1&1 verfolgt. Letzterer ist systemoffen, es lassen sich also Komponenten verschiedener Herstellern mischen. Spätestens mit der nächsten Mobilfunkgeneration 6G wird sich O-RAN in den Funkzugangsnetzen durchsetzen, erwartet zum Beispiel Joa Barry, Vice President von Analog Devices.

In dem erwähnten Sicherheitskatalog sind nur die kritischen Funktionen definiert und es muss dann für jedes Netz geprüft werden, welche Komponenten jeweils kritische Funktionen wahrnehmen. Jeder Netzbetreiber eines Mobilfunknetzes kauft Komponenten von unterschiedlichen Herstellern ein. Darunter sind Firmen aus Europa, Asien und Nordamerika. Zum Verständnis des 5G-Netzes muss man unterscheiden zwischen einem Kernnetz und einem Zugangsnetz. Das Kernnetz sind im Wesentlichen die Rechenzentren. Hier ist Huawei nicht mehr oder nur wenig vertreten.

Bei den jetzt diskutierten Komponenten geht es also nicht um das Kernnetz, sondern vielmehr um das Zugangsnetz oder auch Radio Access Network (RAN) – also um das Netz der Mobilfunk-Basisstationen. Hier kommen Komponenten von Huawei zum Einsatz. Die Antennen selbst sind keine kritischen Komponenten nach der aktuellen Regulierung. Insofern geht es beim aktuellen Prüfverfahren für das Zugangsnetz im Wesentlichen um die System-Managementsoftware, welche die Antennen steuert, aber nicht um die Antennen selbst. Sogar im Falle einer Untersagung dieser Software wäre ein Austausch aller von der Software gesteuerten Antennen nicht unbedingt erforderlich – und nur tatsächlich schwer möglich.

Sicherheit beim RAN-Management

Beim RAN-Management ist die Software der kritische Teil, da sie die Antennen steuert. In einem Gespräch mit Golem.de wies die Telekom bereits am 16. Juni 2023 Befürchtungen zurück, sie könne die Netzmanagement-Software (NMS) von Huawei im 5G-Mobilfunknetz nicht sicher betreiben.

„Es werden keine Updates in Live-Systeme eingespielt und eingespielte Updates werden vorher im Testsystem ausgiebig auf Funktionalität und Sicherheit geprüft“, sagt der Telekom-Sprecher Stephan Broszio. In einem Blog-Eintrag betont die Telekom weiter: „Die Systeme für das Netzwerkmanagement (RAN-Management) sind in einem eigenen Hochsicherheitsnetz komplett vom Internet und den Bürokommunikationsnetzen der Deutschen Telekom getrennt und von außen nicht erreichbar.“

RAN-Management sei somit sicher. Das sagt auch Berger: „Wir als Ausrüster kennen die Sicherheitskonzepte nicht. Nur die Netzbetreiber kennen das Gesamtsystem und setzen die einzelnen Komponenten zusammen. Das RAN-Management ist eine hochisolierte Komponente, das bedeutet, dass selbst die Hersteller im Normalbetrieb keinen Zugriff auf diese Komponente haben. Der Netzbetreiber hat immer die volle Kontrolle“.

Huawei erfüllt europäische und deutsche Sicherheitsstandards

Huawei hat 2018 in Bonn ein Security Lab für Quellcodeprüfungen eröffnet, das auch das BSI für solche Prüfungen nutzen kann. In den vergangenen Jahren wurden zahlreiche Produkte erfolgreich nach internationalen Kriterien zertifiziert, darunter auch 5G-Produkte nach dem NESAS-Standard, an dem sich auch das BSI bei seinen noch ausstehenden Prüfungen kritischer 5G-Komponenten orientieren wird.

Die RAN-Management-Komponente, auf die sich das aktuelle Audit besonders konzentriert, wird 2020 in der Europäischen Union nach dem Common Criteria Standard zertifiziert, einschließlich einer Quellcode-Prüfung.

Politisch motivierte Aktionen?

Doch um was geht es genau bei Huawei? Laut Berger hat „die US-Regierung große Vorbehalte gegenüber chinesischen Tech-Anbietern. Doch es gibt keine Beweise, dass die Vorbehalte der US-Regierung begründet sind“.

Ähnlich sieht das der IT-Sicherheitsexperte Dennis-Kenji Kipker, Professor an der Hochschule in Bremen. Er sieht eine „politische Überformung der fachlich-technischen Aufgabe der Cybersecurity“ und hält diese Politisierung nicht nur „rechtlich für einen gefährlichen Weg“. Ein solches Handeln „sei vielmehr auch in der Lage, das Vertrauen in objektive, transparente und nachvollziehbare Entscheidungen der obersten deutschen Cybersicherheitsbehörde nachhaltig zu untergraben“.

Cybersicherheit nicht nach Herkunft bewerten

In einer Stellungnahme an den Bundestag distanzierte sich sogar der Chaos Computer Club (CCC) im Jahr 2021 klar vom Konzept einer „politischen Vertrauenswürdigkeit“, die an die Herkunft von Herstellern gebunden wird: „Die Definition 'vertrauenswürdiger Anbieterinnen' muss sich nicht auf die Herkunft der Anbieterin, sondern auf die tatsächliche und prüfbare technische Sicherheit und Sicherbarkeit ihrer Produkte erstrecken. Alle Anbieterinnen von Komponenten kritischer Infrastruktur – unabhängig von ihrem Herkunftsland – sollten nur zulässig sein, wenn sichergestellt ist, dass das tatsächlich im Einsatz befindliche System auditiert werden kann.“

Huawei betreibt intern seine eigene Cyber-Sicherheitsabteilung, die unabhängig von der Produktentwicklung ist. Mitarbeiter überprüfen hier Produkte, bevor sie auf den Markt gebracht werden und bekommen Prämien, wenn sie Fehler und Sicherheitsmängel finden. Anschließend werden die technischen Komponenten extern zertifiziert. „Die Komponenten werden von Behörden und Auditoren begutachtet“, sagt Berger. „Denn Vertrauen in Cybersicherheit gelingt nur auf der Basis von objektiven technischen Überprüfungen.“

Eine Manipulation ist nur schwer möglich. Und die Zertifikate können auch wieder aberkannt werden, wenn beispielsweise der Code nicht mehr sicher ist. „Das ist die Grundlage von sicherer Infrastruktur“, sagt Berger. Dabei spiele es keine Rolle, aus welchen Ländern die Komponenten kommen. „Resilienz entsteht, wenn man Komponenten von verschiedenen Anbietern einsetzt“, sagt Berger.

Hardware-Komponenten objektiv überprüfen

Doch wie lässt sich Vertrauen konkret umsetzen? „Die Politik sollte sich an den Fakten orientieren und mit Huawei reden“, sagt Berger. Ähnlich argumentiert der MIT-Informatikprofessor Nicholas Negroponte: „Telekommunikationspolitik sollte auf objektiven Standards basieren und nicht auf geopolitischen Erwägungen“.

Es sollten also nicht politische, sondern technische Motive im Vordergrund stehen. Hier braucht sich Huawei nicht zu verstecken. Das Unternehmen ist seit rund 25 Jahren auf dem europäischen Markt und breit aufgestellt. Neben Telekommunikationskomponenten bietet das Unternehmen Anwendungen für den Energiemarkt, Automotive, Consumer Electronics, Cloud Business und Enterprise IT. „Von diesem Leistungsspektrum kann die deutsche Industrie nur profitieren“, sagt Berger abschließend.

Dieser Artikel stammt von unserem Partnerportal Elektronikpraxis.

(ID:49813036)