"Ich weiß, dass Frauen genauso gut sein können wie Männer"
Haya Shulman ist eine der führenden Spezialistinnen für Cybersicherheit, trotzdem wurde sie früher manchmal für eine Sekretärin gehalten.
Haya Shulman ist Informatik-Professorin an der Goethe Universität, leitet eine Forschungsabteilung am Fraunhofer-Institut für Sichere Informationstechnologie (SIT) in Darmstadt und gehört zu den führenden Spezialisten für Cybersicherheit in Deutschland. Mit Redakteurin Sarah Bernhard sprach sie über Gefahren aus dem Internet, ihre Liebe zu komplizierten Gedankenspielen und wie es ist, als Frau in einer männerdominierten Branche zu arbeiten.
Frau Shulman, das BKA hat vor kurzem gemeldet, dass Deutschland ein besonders lukratives Ziel für Cyberangriffe ist, deren Zahl stieg von 2020 auf 2021 um zwölf Prozent. Investieren deutsche Unternehmen zu wenig in die digitale Sicherheit?
Nein, mittlerweile investieren deutsche Unternehmen sogar sehr viel. Doch die aktuell überwiegend genutzten Gegenmaßnahmen sind nicht mehr effektiv genug. Wir müssen ambitionierter werden.
Sie meinen, meine Firewall reicht nicht mehr?
Im Moment ist es oft so: Wenn man durch die Firewall ins Netz kommt, ist man vertrauenswürdig und wird nicht weiter überprüft. Genauso bekommt, wer sich vom Homeoffice aus über einen VPN einwählt, Zugriff auf alle Dienste. Das haben viele Angriffe ausgenutzt. Denn wenn man einmal drin ist, kann man sich ungehindert ausbreiten.
Was empfehlen Sie stattdessen?
Eine Möglichkeit sind moderne Sicherheitsarchitekturen wie "Zero Trust". Diese Architektur geht davon aus, dass man niemandem vertrauen kann und alles überprüfen muss. Es gibt also nicht nur eine Zugangskontrolle, sondern für jede Anwendung und jeden Server eine eigene.
Für mich als Anwender ein Alptraum!
Man kann das so machen, dass der Endnutzer davon überhaupt nichts mitbekommt. Die zweite große Schwachstelle sind Passwörter. Ich empfehle, statt nur Passwörter eine Multifaktor-Authentifizierung zu verwenden.
Im Moment gibt es ja eine Warnung vor IT-Produkten aus Russland. Bei einer Antiviren-Software kann ich mir gerade noch vorstellen, dass sie heimlich russische Viren durchlässt. Aber ist auch andere Hard- oder Software gefährlich?
Es geht bei dieser Frage um die digitale Souveränität Deutschlands. Denn prinzipiell ist jede Hard- und Software, mit der wir etwas Wichtiges erledigen wollen, zugleich auch eine Gefahr. Viele IT-Komponenten kommen beispielsweise aus China, das macht uns abhängig. Und Deutschland muss sich stärker als bisher überlegen, von wem es abhängig sein möchte. Stellen Sie sich vor, China weigert sich eines Tages, IT-Komponenten an den Westen zu liefern. Das wäre für unsere Industrie der Super-GAU.
Sowas würde China doch nicht wirklich tun, oder?
Im Moment nicht. Aber sollte es zu einem Konflikt kommen, wäre das durchaus möglich. Bis vor kurzem hatten wir ja auch noch gute Beziehungen zu Russland. Und die knappe Wahl in Frankreich hat gezeigt, dass auch Regierungen, die ein ähnliches Wertesystem haben wie wir, schnell kippen können.
Wenn wir nicht einmal Frankreich noch trauen können, wem dann?
Dieselben Werte wie Menschenrechte und das Rechtsstaatsprinzip sind natürlich trotzdem eine gute Basis. Genauso wichtig ist es aber, mehrere Quellen von verschiedenen Partnern zu haben und nicht, wie bisher beim Gas, fast ausschließlich auf nur einen Partner zu setzen. Theoretisch könnten wir unsere IT-Infrastruktur auch selbst produzieren.
Immer wieder wird auch darüber diskutiert, die aktive Cyberabwehr zu verstärken, auch die neue Bundesregierung hat das Thema auf die Agenda gesetzt. Was halten Sie davon?
Zunächst möchte ich klarstellen: Bei der aktiven Cyberabwehr geht es nicht darum, dass aus Rache wahllos Ziele in einem bestimmten Land angegriffen werden, sondern darum, dass Behörden Angriffe verhindern. Zum Beispiel, indem sie Teile des Internetverkehrs lahmlegen, gekaperte Server übernehmen und herunterfahren oder direkt die Infrastruktur der Hacker lahmlegen.
Für viele Deutsche ist die Vorstellung schwierig, dass man dem Staat so weitreichende Eingriffsrechte gewährt. Wie kann man verhindern, dass die Behörden Cyberwaffen gegen die eigene Bevölkerung einsetzen?
Die andere Seite des Gedankens lautet: Wenn wir die Cyberwaffen nicht einsetzen, um die Demokratie zu schützen, können wir nicht ausschließen, dass undemokratische Regierungen Einfluss nehmen und unsere Demokratie zerstören. Aber natürlich muss es für solche Maßnahmen einen engen rechtlichen Rahmen geben. Und die Macht darf auch nicht bei einem einzelnen Unternehmen, einer Partei oder auch nur einem Land liegen. Stattdessen sollte eine Lösung auf europäischer Ebene gefunden werden. Das ist auch deshalb sinnvoll, weil Cyberkriminalität nicht an Grenzen Halt macht. Jeder einzelne Angriff, der verhindert wird, sichert potenziell viel Geld und viele Daten.
Wie kommt es eigentlich, dass Sie sich für IT-Sicherheit interessieren? Ist das nicht eher ein Männerthema?
Stimmt, aber Frauen können sich für dieses Thema genauso begeistern wie Männer. Bei mir hat das schon in der Schule angefangen. Man muss viel verstehen, Zusammenhänge herstellen, denken wie ein Hacker, um die Probleme zu erkennen, weil man sie nur dann effektiv lösen kann. Das sind interessante Gedankenspiele. Im Bachelor in Israel war noch die Hälfte Frauen, im Master zehn Prozent, unter den Promotionsstudenten war dann fast keine Frau mehr. In Deutschland gibt es zusätzlich ein Problem mit der Kinderbetreuung, das ich so nicht erwartet hatte. Ich weiß gar nicht, wie Frauen in Deutschland Karriere machen können.
Aber Sie haben es doch geschafft.
Ich habe auch nächtelang durchgearbeitet. Mein Ältester ist jetzt fünf, den habe ich mit auf Reisen und in Meetings genommen, weil es keine andere Lösung gab. In Israel ist das viel einfacher, zuverlässiger und besser als hier. Da gibt es notfalls Betreuung rund um die Uhr. Selbst wenn ich hier für dieses Angebot bezahlen wollen würde, fände ich es nicht.
Und trotzdem haben Sie gesagt, auch in Israel gab es wenige Frauen in Ihrem Fachbereich.
Ich weiß nicht, warum das so ist. Vielleicht, weil viele immer noch der Meinung sind, dass die Frau zu Hause bleiben soll. Frauen sehen, dass es in bestimmten Bereichen kaum Frauen gibt, und denken dann, dass es dann auch für sie nichts sein kann. Vorbilder sind wichtig.
Fühlen Sie sich als Vorbild?
Das habe ich mich noch nicht gefragt. Vermutlich schon. Ich habe immer mein Ding gemacht, wenn mich etwas interessiert hat. Ob da andere Frauen waren, war mir egal. Aber ich versuche, möglichst viele Frauen in mein Team zu nehmen. Ich weiß, dass Frauen genauso gut sein können wie Männer, das hängt nicht vom Geschlecht ab.
Sieht das Ihr Umfeld genauso?
Ich hatte schon Meetings, bei denen die anderen Teilnehmer gedacht haben, ich wäre die Sekretärin. Persönlich stört mich das nicht, ich finde es eher lustig. Aber dass eine Frau nur wollen muss, um erfolgreich zu sein, ist falsch. Ich sehe das oft in Vorstellungsgesprächen, auch für Professuren: Findet das Bewerbungsgespräch mit einem Mann statt, benehmen sich alle wie Kumpels. Wenn sich eine Frau bewirbt, wird sie wie ein kleines Kind behandelt. Ich würde nie sagen, dass alle Männer so sind, aber es ist sehr eindeutig, dass es diesen Unterschied gibt. Nicht, weil Männer schlecht sind, sondern weil wir uns unter Menschen wohler fühlen, die sind wie wir. Das ist sogar bei Männern so, die sich für Frauen einsetzen, das läuft unbewusst ab.
Wie haben Sie es geschafft, sich dennoch durchzusetzen?
Weil ich in dem, was ich mache, zu den Besten gehöre. Das können Sie an meinen Veröffentlichungen sehen. Aber ich musste mich viel stärker anstrengen. Wenn eine Frau genauso erfolgreich ist wie ein Mann, ist es wahrscheinlich, dass sie eigentlich besser ist. Dass Frauen anders behandelt werden, ist schade, denn Menschen werden auf Dauer so, wie sie behandelt werden. Wenn Frauen nicht ernstgenommen werden, denken sie irgendwann selbst, dass sie noch nicht so weit sind, und kichern, wo ein Mann sagen würde: Wie bitte?! Und dann denken die Männer: Frauen können nicht mal vernünftig reden.
Nun sind Sie nicht nur eine Frau, sondern auch noch eine gutaussehende. Ist das eher ein Vor- oder ein Nachteil?
Beides gleichzeitig. Wenn man gut aussieht, ist es einfacher, Aufmerksamkeit zu bekommen, aber man wird auch weniger ernst genommen - und andersherum. Vielen Dank übrigens für das Kompliment.
Wie sind Sie zu diesem Selbstbewusstsein gekommen? Haben Ihre Eltern sie gefördert?
Im Gegenteil, meine Eltern haben ein sehr traditionelles Rollenverständnis. Und als ich jünger war, half mir mein Aussehen nicht. Das Selbstbewusstsein kam einzig durch meine beruflichen Leistungen. Je mehr man spürt, dass man gut ist, desto stärker wird es.