Informatik Spektrum 27/5 (2004) 481-482

Arbeitsgespräch zur Begriffsbildung Sicherheit

Bericht eines Arbeitsgesprächs des FB Sicherheit an der Universität Regensburg

Hannes Federrath und Rüdiger Grimm

Am 24. Mai 2004 fand an der Universität Regensburg ein Arbeitsgespräch des vor einem knappen Jahr neu gegründeten Fachbereichs "Sicherheit -- Schutz und Zuverlässigkeit" statt, in dem über die verschiedenen Sichtweisen auf den Begriff Sicherheit diskutiert wurde. Hintergrund ist die Tatsache, dass es in Deutschland seit langem zwei Wissenschafts-Communities gibt, die sich auf unterschiedliche Schwerpunkte von "Sicherheit" fokussieren und die ihren jeweiligen Blickwinkel mit Hilfe der englischen Sicherheitsbegriffe Safety und Security ausdrücken. Während die "Safety-Community" vor allem den Schutz der Umwelt vor IT-Systemen (beispielsweise Sicherheit des Menschen vor schwerwiegenden Systemfehlern in Flugzeugen, Kernreaktoren und Kraftwerken) sowie Fehlertoleranzmaßnahmen (z.B. Systemausfälle als Folge von Ermüdungserscheinungen, Softwarefehlern und Naturereignissen) im Blick hat, beschäftigt sich die "Security-Community" hauptsächlich mit dem Schutz der IT-Systeme und ihrer Umgebung vor Bedrohungen von außen, insbesondere vor Gefahren, die von bösartigen Angriffen (durch Menschen) ausgehen. 

Ziel des Arbeitsgesprächs der beiden nun im gemeinsamen Fachbereich vereinten Communities war es, ein gemeinsames Verständnis von Sicherheit zu erarbeiten. Ein besseres Verständnis miteinander ermöglicht nicht nur einen gemeinsamen begrifflichen Überbau, sondern legt auch den Blick auf noch ungelöste Aufgaben frei, die nur durch das Zusammenlegen der erworbenen Erkenntnisse und Methoden gelöst werden können.

Die Sichtweisen der beiden Communities ergänzen sich zu einem größeren, sozusagen zweidimensionalen Bild: Während die Safety-Community die Dimension der Wirkung von IT-Systemen auf die Umgebung hervorhebt, stellt die Security-Community die Dimension des Einflusses des Menschen auf die IT-Systeme in den Vordergrund. Aber weder die Umwelt-Dimension schließt den Einfluss des Menschen aus, noch blendet der Einfluss des Menschen auf die IT-Systeme die Konsequenzen für die Umgebung aus. Hier liegt eine beträchtliche gemeinsame Schnittmenge.

In diesem Sinn haben in beiden Communities die Sichten "Intention/Fehler" und "System/Umwelt" ihren Platz. Der Begriff "Angriff" (bevorzugt von der Security-Community verwendet) führt eher zu Verwirrungen und kann durch Formulierungen wie "Interessenkonflikt" und "intentional" ebenso gut umschrieben sein. Verwendet man bei der Community-übergreifenden Arbeit die alten Begriffe Security und Safety, muss man mit Uneindeutigkeiten und Missverständnissen rechnen, weshalb ggf. auf den Kontext und die Historie zu achten ist, in dem der jeweilige Begriff verwendet wurde. Es ist daher besser, diese Begriffe zu vermeiden.

Zentrale Begriffe, in denen sich beide Communities wiederfinden, sind die Verlässlichkeit und Beherrschbarkeit von Systemen, wobei Verlässlichkeit die Sicherheit des Systems meint, während Beherrschbarkeit auf die Sicherheit der Betroffenen abzielt. Durch die beiden Begriffe Verlässlichkeit und Beherrschbarkeit wird der Blick mit Nachdruck auf den Abschluss des Modells durch den Menschen gerichtet; sowohl als "Input" (Intention/Fehler/Einfluss), als auch als "Output" (Betroffener).

Die Arbeitsgruppe "Begriffsbildung" arbeitet momentan an einem Konsenspapier, das die Ergebnisse zusammenfassen soll. Die Vorträge und Arbeitspapiere des Regensburger Arbeitsgespräches sind unter http://www-sec.uni-regensburg.de/begriffeWSMai2004/ zugänglich.

* * *