Es sind die Worte von Eric Chien, die den Zuschauer aufhorchen lassen. Chien arbeitet als "Reverse Engineer" für die Firma Symantec, die Rechner vor Viren schützt. Sein Job ist es, Computercode in Einzelteile zu zerlegen und ihn zu analysieren. Anschließend kann er die Frage beantworten, wie so eine Software aufgebaut ist, welche Ziele sie verfolgt und, in manchen Fällen auch, wie sie sich verbreitet.
Dieser Chien sagt also: "Ich habe definitiv über meine Schulter geschaut. Halb im Scherz haben wir unter Kollegen gesagt: 'Ich bin nicht selbstmordgefährdet. Sollte ich am Montag tot sein: Ich war es nicht.'"
Diese Worte sagt Chien im eindrucksvollen Dokumentarfilm "Zero Days" von Oscar-Preisträger Alex Gibney, der ab Donnerstag in ausgewählten Kinos läuft und von nächster Woche an bei iTunes, Amazon, Google Play und Maxdome verfügbar ist. Sie beschreiben sein Unbehagen, als er ein Stück Software näher untersuchte. Üblicherweise dauerten solche Analysen damals ein bis zwei Minuten, wie Chien im Gespräch in New York erzählt, wo er zusammen mit dem Team des Films Interviews gibt. "Aber für Stuxnet haben wir drei Monate gebraucht, wir waren zu dritt und haben 24 Stunden täglich damit verbracht."
Infrastruktur der Zivilgesellschaft verschiebt sich ins Digitale
Stuxnet gilt als ausgeklügeltster Hacker-Angriff, der bis dato öffentlich bekannt ist. Chien fürchtete halb scherzend um sein Leben, da in diesen Monaten zwei iranische Atomforscher ermordet wurden - von Attentaten war die Rede. Und der Code, den Chien entschlüsselte, hatte das iranische Atomprogramm sabotiert und insgesamt 1000 Zentrifugen zerstört.
Die SZ-Redaktion hat diesen Artikel mit einem Inhalt von Youtube angereichert
Stuxnet ist ein Angriff, der nach Ansicht von Gibney der modernen Kriegsführung ein folgenschweres Update verpasst hat: rein digital ablaufende Attacken, die eben nicht nur Atomanlagen zerstören können, sondern auch Kraftwerke, Finanzsysteme und Stromnetze. Die komplette Infrastruktur der Zivilgesellschaft verschiebt sich zunehmend ins Digitale - und wird damit immer angreifbarer. Die Software von Stuxnet war derart spezifisch geschrieben, dass sie nur auf bestimmte Trigger reagierte. Reguläre Rechner blieben verschont. Nur auf jenen Computern, die in industriellen Anlagen eingesetzt wurden, verbreitete sich der Wurm.
Die Einzelheiten erklären in "Zero Days" mehrere IT-Sicherheitsexperten - und präsentieren Indizien, wer hinter den Angriffen stecken könnte. Beweise gibt es bis heute nicht, offiziell bleibt ungeklärt, wer verantwortlich war. Das inoffizielle Bild aber wird in diesem Film schärfer, denn alles weist auf eine gemeinsame Aktion von Israel und den USA hin.
So haben anonym zitierte Mitarbeiter der US-Regierung zugegeben, dass die Aktion unter dem Decknamen "Olympische Spiele" lief. Um eine offene militärische Konfrontation zu verhindern, hätten die USA ihren Partner überzeugen können, den klandestinen Hackerangriff zu starten, erklärt eine Schauspielerin. Sie ist eine Kunstfigur - die von ihr vorgetragenen Zitate sind aus mehreren Gesprächen, die Gibney abseits der Kameras führen konnte, zusammengestellt.
"Jede digitale Information kann gefälscht werden"
Die Personen, die mit vollem Namen vor der Kamera reden, weichen der Frage nach der Verantwortung aus - teilweise grinsend. Es sind hochrangige Geheimnisträger. "This is a big deal", kommentiert etwa Michael Hayden den Angriff allgemein. Hayden war Chef der Geheimdienste NSA und CIA und damit von jenen zwei Einrichtungen, denen die Angriffe zugeschrieben werden. "Selbst wenn ich es wüsste, dürfte ich es nicht sagen", erklärt er.
Allein die Ressourcen, die für die Attacke aufgewendet wurden, lassen aber wenig Zweifel an der Urheberschaft. IT-Analytiker Chien spricht deshalb von "staatlich geförderten Angriffen" - mit technischem Know-how, das damals nur bei wenigen Ländern zur Verfügung stand: den USA, Russland, Großbritannien, China, Israel. Im Code selbst findet sich ein Verfallsdatum: 11. Januar 2009. Also neun Tage, bevor der neue US-Präsident, Barack Obama, sein Amt antrat - und die Weiterführung der Attacke bürokratisch absegnen musste. Chien selbst nennt keinen Staat als Hauptverdächtigen, dazu ist er zu sehr Techniker. Attribution, also das Zuordnen einer Aktion zu einem Akteur, sei schwierig. "Jede digitale Information kann gefälscht werden." Aber die anonymen Insider zeigten sich am Ende doch recht gesprächig.
Panik im Weißen Haus
"Es gibt zwei Gründe dafür, warum diese Menschen mit mir reden wollten", sagt Alex Gibney. "Erstens waren sie der Meinung, dass die Geschichte von Stuxnet nicht ordentlich erzählt wurde. Zweitens hatten sie Sorge, dass die Macht dieser Waffen nicht ausreichend gewürdigt wurde." Deutlich wird das in dem Detail, dass Präsident Bush erst zerfetzte Metallteile einer Zentrifuge anfassen musste - Resultat eines erfolgreichen Testlaufs des Stuxnet-Angriffs in eigenen Laboren - bevor er die Mission offiziell absegnete.
Von Ronald Reagan ist bekannt, dass er den Spielfilm "War Games" sah. Daraufhin verfiel das Weiße Haus in Panik, als Reagans Generalstabschef mitteilte, dass der Film der Realität entspreche: Die Netzwerke der Vereinigten Staaten seien anfällig für Angriffe. Seit mehr als dreißig Jahren wird diese Panik periodisch aktiviert. "Zero Days" ergänzt sie um das moderne Arsenal - und um das Versprechen, dass es dieses Mal anders ist, die Gefahr präsenter. Im Film sind Atompilze zu sehen.
In dem Zimmer, in dem Gibney in New York Presseinterviews gibt, ist ein Filmplakat aufgestellt: "World War 3.0" steht dort als Unterzeile. Steht seiner Meinung nach wirklich ein derart drastisches Szenario bevor? "Ich will das Thema nicht künstlich aufblasen", antwortet er. "Aber es ist vorstellbar, dass die kritische Infrastruktur eines Landes angegriffen wird. Von Stuxnet bis zu ,Nitro Zeus', das ist ein immenser Sprung nach vorne - in so kurzer Zeit." Erst spät in den Dreharbeiten hatten die anonymen Quellen Gibney von dem neuen Programm erzählt, das nun weltweit für Schlagzeilen sorgt und Stuxnet fast vernachlässigbar klein wirken lässt: Nitro Zeus. "Wir haben Hunderte Millionen dafür ausgegeben, vielleicht Milliarden", erzählt die Kunstfigur, die alle anonymen Aussagen wiedergibt, im Film.
Für den Fall, dass es zu einem kriegerischen Konflikt zwischen Israel und Iran kommen sollte, ist die USA anscheinend vorbereitet. "Wir haben Irans militärisches Abwehrsystem infiltriert. Sie können unsere Flugzeuge nicht abschießen, wenn sie über das Land hinwegfliegen." Aber die Hacker der NSA haben sich anscheinend auch in zivile Infrastruktur eingeschlichen. "Nitro Zeus war der Plan für einen Cyberkrieg in vollem Ausmaß - ohne Attribution", heißt es. "Wenn man die Stromversorgung für ein bis zwei Wochen kappt", sagt Gibney, "können die Konsequenzen fatal sein."
"Zero Days" ist Teil eines Hacker-Narrativs, das größtenteils auf Hype verzichten kann. Die realistische Darstellung reicht mittlerweile aus, um höchste Spannung zu erzeugen. Der Cyberraum gilt neben Luft, Wasser, Land und dem Weltraum als fünfte Domäne der Kriegsführung. Ausschließlich digital ablaufende Angriffe sind derzeit dennoch rar. Zwar gab es im Dezember 2015 einen Angriff russischer Hacker auf Stromnetze in der Ukraine - dieser war jedoch einfacher in seinen Methoden.
"Vor Stuxnet haben wir ein bis zwei Kampagnen gesehen, hinter denen wir staatliche Akteure vermuten", erzählt Eric Chien, der Sicherheitsforscher von Symantec. Mittlerweile seien es mehr als hundert. Auch andere Staaten eignen sich nun diese technischen Fähigkeiten an - allen voran wohl Iran. "Ein Cyberkrieg scheitert nicht länger daran, dass es technische Hindernisse gibt", sagt Chien. "Nur der politische Wille kann verhindern, dass es zum Äußersten kommt."