CycleSEC verlängert Praxispartnerschaft mit SecHuman: Interview mit Steffen Hessler

CycleSEC ist seit März 2019 Praxispartner des NRW-Forschungskollegs „Schöne Neue Welt: Sicherheit für Menschen im Cyberspace (SecHuman)“. Im Oktober wurde die Partnerschaft bis 2024 verlängert. Damit geht die Forschungszusammenarbeit zwischen dem forensischen Linguist Steffen Hessler von der Ruhruni Bochum und dem CycleSEC-Gründer Sebastian Klipper  in die nächste Runde.

Kennengelernt haben sich die beiden bereits 2017 auf dem Forschungstag IT-Sicherheit NRW.  Seit dem arbeiten sie an der transdisziplinären Erforschung der ISO/IEC 27001 Normenreihe.

Erste Ergebnisse hatten Steffen Hessler und Sebastian Klipper bereits auf der TakeAware 2018 und dem T.I.S.P. Community Meeting 2018 vorgestellt: „Warum finden Security-Experten so schlecht Gehör? Sprachwissenschaftliche Konzepte zur Steigerung der Security Awareness„. Der CycleSEC-Gründer Sebastian Klipper sieht die Partnerschaft wie folgt:

„Wir halten den im Rahmen von SecHuman verfolgten transdisziplinären Ansatz, der Technik, Geisteswissenschaften und Praxis verbindet, für sehr vielversprechend. Der Ansatz deckt sich mit der Vorgehensweise in unseren Kundenprojekten. Daher möchten wir die Forschungen durch unsere Beteiligung als Praxispartner ausdrücklich unterstützen.“

Steffen Hessler befasst sich in seiner Promotion mit der Analyse sprachlicher Stilisierungs-, Imitations- und Verschleierungsstrategien mithilfe intelligenter Algorithmen und arbeitet dafür mit dem Bundeskriminalamt zusammen. Hier im Blog lesen Sie, mit welchem Blick der forensische Linguist auf Cyberkriminalität blickt.

Interview mit Steffen Hessler

CycleSEC: „Herr Hessler, erkennen Sie Kriminelle an Ihren Facebook Postings?“

Steffen Hessler vom Forschungskolleg SecHuman.

Steffen Hessler: „Nein, man kann anhand von Facebook-Postings nicht erkennen, ob jemand kriminell ist, oder nicht. Es gibt aber Schreiben bzw. Texte, die an sich schon eine Straftat darstellen, wie z.B. das „klassische“ Erpresserschreiben. Diese Texte, bzw. die sprachlichen Merkmale dieser Texte, werden dann mit Vergleichstexten, beispielsweise E-Mails oder auch Texte von sozialen Netzwerken, verglichen. Hier kann man herausfinden, wie wahrscheinlich es ist, dass die fragwürdige Person einen Text verfasst hat, oder nicht.“

CycleSEC: „Hat also jeder Autor einen linguistischen Fingerabdruck?“

Steffen Hessler: „Personen haben keinen sogenannten „linguistischen Fingerabdruck“, da das bedeuten würde, dass man mit nahezu hundertprozentiger Sicherheit sagen kann, dass jemand der Autor eines Textes ist. Außerdem impliziert der Ausdruck, dass es ein schnelles Verfahren gibt, die Autorenschaft herauszufinden. Das ist nicht so, da der Vergleich von Texten eine langwierige Angelegenheit ist. Es wird eher von einem sprachlichen bzw. linguistischen Fingerzeig gesprochen. Er gibt Hinweise darauf, ob jemand die/der Autor/in eines Textes ist. Jeder Mensch verwendet in Texten eine Reihe bestimmter sprachlicher Merkmale, ein sogenanntes Merkmal-Set. Das umfasst alle linguistischen Bereiche wie Syntax, Morphologie, Stilistik etc. Das Set kann auch recht individuell sein, allerdings nie so individuelle wie ein Fingerabdruck.“

CycleSEC: „Könnte es so auch möglich sein, alte Fälle, sogenannte Cold Cases, wieder aufzurollen, weil Autoren von Hate-Speach oder Terrorpropaganda sich nachträglich durch ihren linguistischen Fingerzeig verraten?“

Steffen Hessler: „Ja, das ist möglich. Die Texte und die entsprechenden Merkmale werden in Datenbanken gespeichert, sodass z.B. Wiederholungstäter leichter zugeordnet werden können. Außerdem kann man Fälle, die Jahre vergangen sind, wieder aufgreifen.“

CycleSEC: „Können sich Autoren nicht einfach verstellen und so tun, als hätten sie z.B. eine andere Nationalität und sprächen nur gebrochen Deutsch?“

Steffen Hessler: „Die Verstellung, dass man kein deutscher Muttersprachler ist und deswegen bestimmte Fehler macht, ist eine sehr beliebte Verschleierungsstrategie. Oft werden Infinitivformen übermäßig gebraucht oder Genera vertauscht. Es ist jedoch so, dass in den entsprechenden Texten auch Merkmale verwendet werden, die dann stilistisch nicht zum Rest des Textes passen. Man kann also erkennen, dass die/der Autor/in über eine andere schriftsprachliche Kompetenz verfügt, als sie/er vorgibt.“

CycleSEC: „Mit Sebastian Klipper übertragen Sie sprachwissenschaftliche Ansätze auf die Praxis von Informations- und IT-Sicherheitsbeauftragten. Wie kann Sprache da helfen?“

Steffen Hessler: „Ein Ansatz ist, dass IT-Sicherheitsfragen stärker in das Bewusstsein der Anwender/innen dringen müssen. Oft ist es so, dass wir kurz aufhorchen, wenn in den Medien über Datendiebstähle oder Erpressungen mit sensiblen Daten berichtet wird. Dennoch ändern Anwender/innen ihr Sicherheitsverhalten nur in den seltensten Fällen. Den Grund dafür sehe ich darin, dass die IT-Sicherheit nicht im sprachlichen Bewusstsein verankert ist. Nur wer über ein Thema entsprechend diskutieren kann, verinnerlicht seine Inhalte so im Bewusstsein, dass die Handlungsweise davon bestimmt wird. Hier setzen wir an.“

CycleSEC: „Man spricht ja vom aktiven und passiven Wortschatz: Man kennt ein Wort zwar, benutzt es aber nicht. Ist das mit dem sprachlichen Bewusstsein und der Security so ähnlich. Man kennt zwar gängige Sicherheitsempfehlungen, kann sie ohne Impuls von außen aber nicht anwenden, weil man auch nicht darüber sprechen könnte?“

Steffen Hessler: „Ich denke, dass das ein treffender Vergleich ist. Mein Eindruck ist jedoch, dass IT-Security-Belange weniger verstanden werden, weil es sich hier um häufig sehr komplexe Zusammenhänge handelt. Die Schwierigkeit ist vielleicht erkennbar, wenn wir uns einen Fremdsprachenlerner vorstellen. Er hat in gewisser Weise eine Ahnung davon, worüber Muttersprachler sprechen, wenn diese kommunizieren. Dem Lernenden fehlen allerdings nicht bloß Wörter im Wortschatz (Lexik), er versteht auch nicht unbedingt Bezüge von Substantiven, Verben, Adjektiven etc., deren Beziehung von der Grammatik im Bereich der Syntax und Morphologie geregelt sind. Diese Bereiche sind im Zusammenspiel wesentlich komplexer als der Wortschatz.“

CycleSEC: „Vielen Dank für das Gespräch.“

Ein Gedanke zu „CycleSEC verlängert Praxispartnerschaft mit SecHuman: Interview mit Steffen Hessler“

Schreibe einen Kommentar