Ein Pharmaunternehmen verliert nach Jahren der Grundlagenforschung seinen Patentvorsprung, weil ein Konkurrent exakt die gleiche Wirkstoffstruktur anmeldet. Eine Hochschule stellt fest, dass Drittergebnisse aus einem laufenden EU-Verbundprojekt bereits vor der Publikation im Ausland bekannt waren. Solche Fälle sind keine Einzelerscheinungen. Das Bundesamt für Sicherheit in der Informationstechnik weist in seinen Lageberichten regelmäßig darauf hin, dass Wirtschaftsspionage und der unbeabsichtigte Abfluss von Forschungsdaten zu den größten Bedrohungen für den deutschen Innovations- und Wirtschaftsstandort zählen.
Zwei Risikoquellen, die selten gemeinsam betrachtet werden
In der Praxis dominieren zwei Erklärungsansätze: entweder das technische Gerät oder die Infrastruktur des Raumes selbst. Beide Ansätze sind legitim, beide greifen für sich genommen zu kurz. Wer nur die digitale Sicherheit seiner Netzwerke optimiert, ignoriert physikalische Abhörmöglichkeiten. Wer ausschließlich Räume sichert, übersieht, dass das Smartphone eines Gastwissenschaftlers bereits beim ersten Betreten eines Labors aktiv Audiosignale aufzeichnen oder übertragen kann.
Forschungseinrichtungen stehen damit vor einem kombinierten Problem: Sie müssen sowohl die baulichen und akustischen Eigenschaften ihrer Besprechungsräume, Labore und Büros bewerten als auch den Umgang mit mobilen Endgeräten regeln. Weder das eine noch das andere lässt sich vollständig standardisieren, weil Gebäudestrukturen, Forschungsthemen und Personalstrukturen zu unterschiedlich sind.
Räume als unterschätzte Schwachstelle
Schallübertragung durch Decken, Wände und Lüftungskanäle ist kein theoretisches Problem. Rasterdecken in Bürogebäuden aus den 1980er und 1990er Jahren bieten so gut wie keinen Schallschutz zwischen benachbarten Räumen. In einem typischen Institutsgebäude einer deutschen Universität lassen sich Gespräche aus dem Nachbarraum bei geschlossener Tür mit einfachen Richtmikrofonen deutlich aufzeichnen, wenn der Schallschutzwert der Trennwand unter einem bestimmten Mindestmaß liegt.
Hinzu kommen aktive Abhörgeräte, sogenannte Wanzen, die in Steckdosen, Lüftungsschlitzen oder unter Schreibtischen angebracht werden. Sie senden in der Regel auf Frequenzen, die im normalen WLAN-Spektrum untergehen, oder speichern Daten lokal für eine spätere Auslesung. Eine professionelle Überprüfung verdächtiger Räume durch spezialisierte Stellen, wie sie etwa im Bereich des Abhörschutz Tübingen angeboten wird, umfasst neben der Frequenzanalyse auch die Überprüfung der Raumgeometrie und der verbauten Materialien.
Besonders gefährdet sind Räume, die für mehrere Nutzergruppen zugänglich sind: Seminarräume, Konferenzräume für externe Kooperationspartner und Sozialräume in der Nähe sensibler Laboreinheiten. In diesen Zonen herrscht häufig wenig Zutrittskontrolle, und der Wechsel der Nutzer erfolgt schnell.
Smartphones: das trojanische Pferd im Kittel
Mobiltelefone stellen für Forschungseinrichtungen eine qualitativ andere Bedrohung dar als raumakustische Schwachstellen. Ein Gerät, das mit einem kompromittierten Betriebssystem oder einer manipulierten App ausgestattet ist, kann Mikrofon, Kamera und Standortdaten ohne erkennbare Anzeichen an Dritte übermitteln. Das ist kein hypothetisches Szenario: Spyware wie Pegasus, dokumentiert unter anderem durch das Wikipedia-Eintrag zu Pegasus, wurde nachweislich gegen Journalisten, Politiker und Wissenschaftler eingesetzt.
Das Risiko entsteht nicht nur durch externe Angreifer. Gastwissenschaftler, Praktikanten oder Lieferanten bringen Geräte mit, deren Sicherheitszustand niemand kennt. Selbst wenn alle offiziellen Dienstgeräte einer Einrichtung sicher konfiguriert sind, reicht ein einziges privates Smartphone mit einer aktiven Spyware aus, um Gespräche aus einem Besprechungsraum vollständig zu übertragen.
Was Einrichtungen konkret tun können
Eine vollständige Lösung existiert nicht, aber ein abgestuftes Schutzkonzept reduziert das Risiko erheblich. Die folgenden Maßnahmen lassen sich nach Aufwand und Wirksamkeit unterscheiden:
- Zonenkonzept einführen: Räume mit besonders sensiblen Informationen werden als „gerätfreie Zonen“ ausgewiesen. Mobiltelefone verbleiben in Schleusen oder abgeschlossenen Fächern außerhalb dieser Bereiche.
- Raumakustik prüfen lassen: Schallschutzmessungen nach anerkannten Normen zeigen, welche Räume für vertrauliche Gespräche geeignet sind. Eine nachträgliche Verbesserung ist durch akustische Wandelemente möglich, aber teuer.
- Regelmäßige Gegenspionage-Analysen: Mindestens einmal jährlich, besser vor wichtigen Projekttreffen, sollten Räume technisch auf versteckte Sender untersucht werden.
- Mobile Device Management konsequent nutzen: Dienstgeräte sollten zentral verwaltet werden. Für private Geräte im Netzwerk der Einrichtung ist ein striktes BYOD-Regelwerk notwendig.
- Sensibilisierung des Personals: Viele Informationsabflüsse entstehen nicht durch Sabotage, sondern durch Unachtsamkeit. Schulungen zu digitaler Hygiene und physischer Sicherheit sind kein einmaliges Ereignis, sondern eine Daueraufgabe.
Das rechtliche Umfeld gibt den Rahmen vor
Forschungseinrichtungen, die mit öffentlichen Geldern arbeiten, unterliegen spezifischen Sorgfaltspflichten beim Umgang mit Forschungsdaten. Das Bundesdatenschutzgesetz und die europäische Datenschutz-Grundverordnung regeln den Schutz personenbezogener Daten, greifen aber beim Schutz von Forschungsergebnissen im engeren Sinne nur begrenzt. Hier kommen vertragliche Regelungen in Kooperationsvereinbarungen und interne Richtlinien ins Spiel, die verbindlich formuliert und auch kontrolliert werden müssen.
Wer als Einrichtungsleitung das Thema auf die lange Bank schiebt, riskiert nicht nur den Verlust von Wettbewerbsvorteilen, sondern auch den Vertrauensverlust gegenüber Drittmittelgebern. Förderinstitutionen verlangen zunehmend, dass Antragsteller ein nachvollziehbares Datensicherheitskonzept vorlegen.
Kein entweder-oder
Die Ausgangsfrage, ob Räume oder Smartphones die größere Ursache für Informationsabfluss bei Forschungsprojekten sind, lässt sich nicht pauschal beantworten. In der Praxis verstärken sich beide Faktoren gegenseitig. Ein akustisch unsicherer Raum wird durch ein kompromittiertes Smartphone zur doppelten Schwachstelle. Ein gut abgesicherter Konferenzraum bringt wenig, wenn das Telefon des Referenten unkontrolliert Audiodaten aufzeichnet.
Forschungseinrichtungen tun gut daran, beide Dimensionen in einem integrierten Sicherheitskonzept zu adressieren, das regelmäßig überprüft und an neue Bedrohungslagen angepasst wird. Wer das als Luxusproblem betrachtet, sollte sich vor Augen halten, wie viel Arbeitszeit und Fördermittel in ein Forschungsergebnis geflossen sind, bevor es das eigene Haus verlässt.
