Österreicher schützt Googles Daten

Im April wurde der Österreicher Gerhard Eschelbeck oberster Sicherheitschef von Google. Er muss die Kundendaten vor kriminellen Angreifern und Geheimdiensten schützen. Der KURIER traf ihn zum Interview.

KURIER: Sie sind der oberste Sicherheitschef von Google und bewahren eine der größten Datensammlungen der Gegenwart. Wie schafft man das?

Gerhard Eschelbeck: Unsere primäre Aufgabe ist der Schutz der Kundendaten, die Hälfte meiner 500 Mitarbeiter beschäftigt sich damit, Tools zu bauen, mit denen die Daten geschützt werden. Das ganze Internet ist eine Gefahrenquelle, das ist ein Faktum der Zeit.

Es kursieren immer wieder Meldungen, wonach NSA & Co. die Datensammlung von Google nutzen, um an Infos zu kommen und diese auszuwerten?

Für uns sind die Daten der Nutzer Googles Kronjuwelen, und die müssen wir verantwortungsvoll verwalten. Ich bin mir absolut sicher, dass es keinen Zugriff gibt. Die Medien berichten immer wieder, dass es einen gibt, aber das ist Humbug.

Wie häufig kommt es zu Attacken?

Wir haben dazu keine öffentlichen Zahlen, aber wir registrieren Attacken mehrmals im Millisekunden-Bereich. Das ist "Lärm", den man vergisst. Interessant sind die vielen gezielten Attacken, die es mehrmals am Tag gib. Denn das Wichtigste, um den Krieg gegen Kriminelle zu gewinnen, ist, ihnen drei, vier, fünf Jahre voraus zu sein.

Kann man den Angreifern wirklich voraus sein?

Wenn man viele Jahre in der Sicherheitsbranche tätig ist, kann man voraussehen, was passieren kann. Zudem ist man Teil eines globalen Netzwerks an Experten, die sich austauschen. Dadurch sind wir den Angreifern voraus. Wir bei Google haben ohnehin den Vorteil, dass unsere Plattform eine proprietäre ist, sie wurde von uns gebaut, daher erkennen wir jede Abweichung sofort.

Wie viele gefährliche Internetseiten finden Sie pro Monat?

Pro Monat finden wir etwa 50.000 Seiten, die Schädlinge enthalten, zusätzlich etwa 90.000 Phishing-Seiten, die Passwörter ausspionieren wollen und Vertrauenswürdigkeit vorspiegeln.

Wer sind die Feinde? Private Angreifer oder Behörden?

Wir unterscheiden nicht, wer hinter Attacken steckt. Aber man kann mit ruhigem Gewissen sagen, dass die Attacken aus der traditionellen kriminellen Welt kommen, aus der Welt der Geheimdienste und dass automatisierte Angriffe passieren.

Vergangene Woche wurde bekannt, dass Google künftig nur noch ein Unternehmen im Alphabet-Imperium ist. Werden Sie künftig Sicherheitschef der Alphabet-"Holding"?

Alphabet ist eine neue Gesellschaftsstruktur, nicht mehr und nicht weniger. Security und Privacy bleiben konzernweit im Zentrum unserer Aufmerksamkeit.

Die Start-ups, die Google kauft, sind thematisch sehr breit, von Gesundheit über Energie bis hin zu Robotik. Wie schafft man da einen Sicherheitsstandard?

Ob Cloud Computing, Internet of things oder selbstfahrende Autos – das erfordert viele neue Denkansätze und da wird in Zukunft noch viel Forschung betrieben werden müssen. Die kommenden Jahre werden nicht langweilig.

Fabasoft-CEO Helmut Fallmann hat kürzlich gefordert, dass die IT-Welt nach europäischen Regeln spielen müsse – was sagen Sie als Europäer, der bei einem US-Konzern arbeitet?

Europa hat kulturbedingt eine Vorreiter- und Vordenker-Rolle in Sachen Privacy. Google hat die Kritik der vergangenen Jahre auch ernst genommen, viel von Europa gelernt, vieles adaptiert und transparent gemacht. Transparenz schafft Vertrauen. Daher gibt es auch die Seite "mein Konto", auf der jeder Nutzer seine Einstellungen vornehmen und sehen kann, was gespeichert wird. Wir sind da den anderen IT-Unternehmen (Microsoft, Facebook, Apple etc., Anm.) hier um mindestens eineinhalb Jahre voraus.

Wie kontrollieren Sie, wer auf die Kundendaten zugreift?

Jeder Zugriff wird genau kontrolliert und protokolliert. Wir bläuen den Mitarbeitern ein, wie wichtig die Kundendaten sind. Es gibt keine Zugriffe von außen, keine Hintertüren in den Systemen, die von Geheimdiensten genutzt werden könnten.

Sie hoffen ja selbst, dass eines Tages der ganze Verkehr im Web verschlüsselt ist und dass es eine Zwei-Faktor-Authentifizierung geben wird. Wie wird die funktionieren?

Das Passwort ist die schwächste Methode. Heute sind Passwort und Token üblich, künftig wird es ein "Web of trust" geben, ein Netzwerk des Vertrauens. Das Netz aus privaten Geräten, Computern, die man am Körper trägt (Wearables), kombiniert mit Aufenthaltsort, Verhalten etc. kann mich als die eine Person identifizieren. Die Herausforderung ist, dass die Privatsphäre gewahrt bleibt.

Gerhard Eschelbeck (50), geboren in Oberösterreich, studierte Informatik an der Kepler Universität in Linz. Bereits als Student gründete er ein Start-up, das schließlich vom IT-Sicherheitsunternehmen McAfee gekauft wurde, für das er später auch arbeitete. Er wechselte zu Sophos, gründete im Silicon Valley seine Sicherheitsfirma Qualys und wurde 2014 Vizepräsident bei Google.Silicon Valley

Eschelbeck ist verheiratet, Vater zweier Töchter und wohnt im kalifornischen Cupertino. Eine seiner Maximen lautet: "Während des Studiums aktiv die Nähe zur Wirtschaft suchen. Praxiserfahrung während des Studiums – im In- oder Ausland – kann einen guten Berufsstart nach Abschluss des Studiums sichern." Eschelbeck besitzt mehrere Patente und gilt als einer der 25 einflussreichsten Informatiker weltweit.