Eine ganze Stadt auf einem USB-Stick — verloren in einer Kneipe

Stellen Sie sich vor, Sie tragen etwas bei sich, das niemand sehen darf. Nicht, weil es verboten wäre. Sondern weil es nur Sie etwas angeht. Und dann stellen Sie sich vor, dass dieses Etwas so klein ist, dass es in eine Jackentasche passt — und dass Sie es an einem Abend, an dem Sie einen Drink zu viel hatten, einfach verlieren.

Genau das ist passiert. Nicht einem unvorsichtigen Einzelnen. Einer ganzen Stadtverwaltung.

Amagasaki: Die ordentlichste Nation verliert ihre Daten in einer Bar

Im Juni 2022 verlor ein Mitarbeiter eines Subunternehmers der japanischen Stadt Amagasaki einen USB-Stick. Darauf befanden sich die persönlichen Daten von rund 460.000 Einwohnern. Verloren wurde der Stick nicht bei einem Hackerangriff, nicht durch einen Systemfehler, nicht durch eine Sicherheitslücke in einer Software. Er wurde verloren, nachdem der Mann in einer Izakaya, einer japanischen Kneipe, getrunken hatte. Am nächsten Tag wurde der Stick wiedergefunden. Die Stadt erklärte, es gebe keine bestätigten Hinweise darauf, dass Daten nach außen gelangt seien.

Man muss diesen Satz zweimal lesen, um seine ganze Absurdität zu erfassen: Die Daten einer halben Million Menschen hingen an einem Abend vom Glück ab. Nicht von einem Verfahren. Nicht von einer Sicherung. Vom Glück, dass der Stick am nächsten Tag noch da lag, wo er verloren worden war.

Und hier liegt die Ironie, die man als Deutscher besonders spürt. Japan gilt — ähnlich wie Deutschland — als Land der Ordnung. Pünktliche Züge, penible Formulare, Prozesse für alles. Und trotzdem saßen die Daten einer ganzen Stadt in der Tasche eines Mannes, der nach Feierabend ein Bier trank. Ordnung, so zeigt dieser Fall, ist keine Eigenschaft von Institutionen. Ordnung ist nur so gut wie der Moment, in dem ein Mensch müde ist, abgelenkt oder eben betrunken. Die Kette reißt immer an der menschlichsten Stelle.

London: Derselbe Fehler, nur ohne Alkohol

Fünf Jahre zuvor, 2017, fand ein Passant in London einen USB-Stick auf der Straße. Darauf befanden sich unter anderem Sicherheitsunterlagen zum Flughafen Heathrow — Dokumente, die die Sicherheit der Königin betrafen. Auch hier: kein Hacker, kein Einbruch in ein System. Jemand hatte den Stick verloren, jemand anderes hatte ihn gefunden.

Die beiden Fälle haben dieselbe Struktur, und diese Struktur ist der eigentliche Punkt. Das Problem war nicht die Technik. Das Problem war, dass die Daten sich überhaupt bewegen konnten. Ein USB-Stick, eine externe Festplatte — diese Dinge sind dafür gemacht, getragen zu werden. Und was getragen werden kann, kann verloren werden. Was verloren werden kann, kann gefunden werden. Von irgendjemandem.

Das ist die Angst, die viele Menschen im Stillen mit sich herumtragen, ohne sie je auszusprechen: Nicht, dass jemand ihre Verschlüsselung knackt. Sondern dass das kleine Ding, auf dem alles liegt, eines Tages einfach nicht mehr da ist — oder in den falschen Händen. In der Schublade beim Umzug. In der Jacke, die man in der Reinigung abgibt. In der Tasche, die man im Taxi vergisst.

Tragbar heißt verlierbar — und ein einziges Exemplar heißt: einmal weg, für immer weg

Drei Eigenschaften machen den USB-Stick und die einzelne Festplatte so riskant. Sie klingen banal, und genau deshalb werden sie unterschätzt.

Erstens: Tragbarkeit ist Verlierbarkeit. Die Größe, die diese Medien so praktisch macht, ist dieselbe Größe, die sie so leicht verschwinden lässt. Ein Stick wiegt wenige Gramm. Man bemerkt nicht einmal, dass er fehlt — bis man ihn braucht.

Zweitens: Ein einziges Exemplar ist ein einziger Fehlerpunkt. Es gibt kein zweites. Geht das eine verloren, ist nicht ein Teil weg, sondern alles. „Ich habe nur dieses eine" ist kein Aufbewahrungskonzept, sondern ein Eingeständnis: Man hat die gesamte Wette auf einen einzigen kleinen Gegenstand gesetzt.

Drittens: Verschlüsselung schützt vor dem Lesen, nicht vor dem Verlieren und nicht vor dem Gefundenwerden. Ein verschlüsselter Stick, der in fremde Hände gerät, gibt seinen Inhalt vielleicht nicht preis. Aber er ist trotzdem weg. Und er wirft trotzdem Fragen auf: Was ist das? Wem gehört das? Warum war das so gut geschützt? Neugier braucht kein Passwort. Die bloße Tatsache, dass etwas verborgen wurde, macht es interessant. Wer etwas besitzt, das niemand sehen darf, braucht also nicht nur Schutz vor dem Lesen — er braucht Schutz davor, dass es überhaupt jemand in die Hand bekommt, und einen Plan für den Fall, dass es doch passiert.

Man könnte an dieser Stelle einwenden, dass die Technik das Problem längst gelöst habe. Man könne die Daten doch verschlüsseln, offline halten, aufteilen. Das stimmt — als Fußnote. Die eigentliche Frage ist nicht, welche Technik man verwendet. Die eigentliche Frage ist: Was passiert an dem Abend, an dem ein Mensch einen Fehler macht? Technik antwortet auf diese Frage nicht. Verfahren tun es.

Zu Hause ist kein Versteck

Viele Menschen ziehen aus diesen Überlegungen den Schluss, die Daten lieber zu Hause aufzubewahren. In der Schublade. Im Tresor. Unter dem Bett. Das klingt nach Kontrolle. Aber das Zuhause ist kein Ort, an dem etwas für immer ungesehen bleibt.

Ein Zuhause wird betreten — vom Partner, von den Kindern, von der Reinigungskraft, vom Handwerker, vom Umzugsunternehmen. Schubladen werden beim Aufräumen geöffnet. Kartons werden beim Umzug verwechselt oder gehen verloren. Ein Wasserrohr bricht, und was unten im Schrank lag, ist ruiniert. Und der Tresor? Ein Tresor schützt vor Feuer. Er schützt nicht davor, dass jemand im Haus ihn findet — und er schützt schon gar nicht davor, dass er im Ganzen mitgenommen wird. Diebstähle, bei denen ein Tresor abtransportiert wird, sind kein seltener Kriminalfall, sondern ein bekanntes Muster.

„Zu Hause" heißt also nicht „niemand findet es". Es heißt nur: Die Menschen, die es finden können, sind andere. Statt eines betrunkenen Mitarbeiters in einer Kneipe ist es dann die neugierige Hand beim Frühjahrsputz oder die fremde Hand beim Umzug. Das Risiko verschwindet nicht, es wechselt nur den Besitzer.

Das gilt übrigens auch für den Trost, mit dem man sich sonst beruhigt: „Mir ist das noch nie passiert." Amagasaki ist auch noch nie passiert — bis zu dem Abend, an dem es passierte. Ein Risiko, das jahrelang nicht eintritt, fühlt sich an wie Sicherheit. Es ist aber nur Glück, das sich angesammelt hat. Und Glück ist kein Verfahren.

Was stattdessen zählt: Zwei Orte, zwei Menschen, ein Verfahren

Wenn man die beiden Fälle ernst nimmt, ergibt sich die Antwort fast von selbst. Sie lautet nicht: ein besserer Stick. Sie lautet: Die Daten dürfen nicht an einem einzigen Ort und nicht in einer einzigen Hand liegen.

Erstens braucht es zwei Datenträger an zwei getrennten Orten. Geht einer verloren, existiert der andere weiter. Der Verlust eines Exemplars ist dann ein Vorfall, aber keine Katastrophe. Das ist der entscheidende Unterschied: Man plant den Verlust ein, statt zu hoffen, dass er nie eintritt.

Zweitens braucht es eine Form der Verwahrung, bei der nichts unbemerkt verschwinden kann. Ein Datenträger, der mit einer nummerierten Siegelbanderole versehen ist, bei dessen Einlagerung zwei Personen unabhängig voneinander prüfen und bestätigen, und dessen Zustand standardmäßig halbjährlich rein äußerlich — Siegel, Aussehen, Foto, ohne jede Berührung des Inhalts — kontrolliert wird, hinterlässt Spuren. Wer ihn nimmt, hinterlässt eine Lücke, die man sieht. Wer ihn öffnet, bricht ein Siegel, das man sieht. Die Heimlichkeit, auf die jeder unbemerkte Zugriff angewiesen ist, wird damit systematisch entzogen.

Drittens braucht es Menschen, deren Aufgabe genau das ist: aufbewahren. Nicht nebenbei, nicht zwischen zwei anderen Aufgaben, nicht als Gefallen. Sondern als Beruf. Ein Verfahren, das von Personen getragen wird, die nichts anderes tun, als dafür zu sorgen, dass etwas dort bleibt, wo es hingehört, und dass jeder Umgang damit dokumentiert ist.

Das ist kein Versprechen, dass nie etwas schiefgeht. Ein solches Versprechen wäre unseriös. Es ist etwas anderes, und es ist mehr wert: Wenn etwas schiefgeht, ist es kein Weltuntergang, sondern ein beherrschbarer Vorfall. Ein Exemplar ist weg — das andere ist da. Ein Siegel ist gebrochen — man weiß es. Ein Zugriff hat stattgefunden — er ist dokumentiert. Das ist der Unterschied zwischen Glück und Verfahren. Glück fragt: Hoffentlich passiert nichts. Ein Verfahren fragt: Was passiert, wenn doch?

Amagasaki hatte Glück. Der Stick wurde gefunden, und nach städtischen Angaben gelangte nichts nach außen. Aber eine Stadt mit 460.000 Einwohnern sollte ihre Sicherheit nicht von einem glücklichen Folgetag abhängig machen. Und Sie sollten es mit dem, was nur Sie etwas angeht, auch nicht tun.

Das, was niemand sehen darf, verdient mehr als eine Tasche, eine Schublade oder einen Tresor. Es verdient zwei Orte, zwei prüfende Augen und ein Verfahren, das auch an dem Abend funktioniert, an dem ein Mensch einen Fehler macht. Denn der Abend kommt. Die einzige Frage ist, ob dann noch etwas da ist — und ob jemand gemerkt hätte, wenn es weg wäre.