Digitale Anzeigetafeln auf dem Stuttgarter Hauptbahnhof und an vielen anderen deutschen Bahnhöfen, blockiert von ... nordkoreanischen Hackern? Hier das Schwabenland, dort der Gefängnisstaat von Kim Jong Un, diese Welten scheinen so gar nichts miteinander zu tun zu haben. Und doch sammeln Fachleute für Computersicherheit gerade Indizien für eine Nordkorea-Verbindung im Zusammenhang mit jener Software, die seit Freitag vergangener Woche mehr als 200.000 Computer in 150 Ländern lahmgelegt hat. Sie verschlüsselt die Festplatten und macht so die gespeicherten Daten unbrauchbar. Sie tut das, um von den Opfern Geld zu erpressen. Wer zahlt, bekommt seine Daten wieder entschlüsselt, so lautet jedenfalls das Versprechen. Man sollte nur nicht allzu viel darauf geben. Und noch weniger, falls sich der Verdacht erhärten sollte, dass WannaCry gar keine von Habgier getriebene Daten-Entführung war, sondern staatlich gesteuerter Computer-Vandalismus.

Was in jedem Krimi gilt, das trifft in diesem Cyber-Krimi erst recht zu. Spurensuche ist Fleißarbeit, Fährten sind mehrdeutig, Indizien noch keine Beweise. Zunächst hatten die Experten auf Computerkriminelle getippt. Aber unabhängig davon, ob hinter WannaCry die Gruppe Lazarus steckt, welche als Hackertruppe Pjöngjangs gilt, oder ob das eine falsche Fährte ist, die andere Urheber im Programmcode hinterlassen haben: Diese digitale Schädlingsflut, eine der schwersten seit Jahren, führt uns vor Augen, wie anfällig unser durchcomputerisierter Alltag ist. WannaCry zeigt uns dessen Unsicherheit. Und auch, auf welchen Ebenen diese Unsicherheit entsteht.

Zuerst die naheliegendste Annahme. Wer seinen Rechner auf dem neuesten Stand gehalten, alle Updates eingespielt und die Sicherheitshinweise beachtet hatte, der war sicher vor WannaCry. Im Umkehrschluss heißt das, wer den Schaden hatte, war auch selbst schuld, oder? Böse Hacker hier, dumme Opfer da – das mag eine verlockend einfache Erklärung sein. Aber es dabei zu belassen wäre die beste Garantie dafür, dass solche Angriffe wieder und wieder gelingen.

WannaCry chiffriert alle Dateien. Auf der Festplatte befinden sie sich dann noch, sind aber unleserlich …

Die unbekannten Täter haben die Schwächen unserer hochvernetzten Welt offengelegt. Natürlich sind sie die Verantwortlichen für diese niederträchtige Form der Erpressung. Aber zwischen ihnen einerseits und den Leidtragenden andererseits liegen mindestens drei Ebenen der Verantwortlichkeit. Genauer gesagt, des mangelnden Verantwortungsbewusstseins. Um zu verstehen, was WannaCry uns lehrt, muss man diese gesamte Kaskade betrachten: von den Geheimdiensten über die Hersteller zu den Firmenkunden.

Erstens: die Geheimdienste, in diesem Fall die National Security Agency (NSA), die Abhörbehörde der US-Regierung, deren Treiben seit Edward Snowdens Enthüllungen jedermann ein Begriff ist. Weil die NSA unbemerkt in anderer Leute Rechner und Netzwerke eindringen möchte, interessiert sie sich für Lücken in Gestalt von Softwarefehlern. Da die meisten Computer auf der Welt mit Windows laufen, sind Lücken in diesem Betriebssystem besonders verlockend, verheißen sie doch Hintertüren, millionenfach. Wer weiß, wozu die eines Tages einmal gut sind!

Die verhängnisvolle Logik: Statt Softwarehersteller auf Schwächen hinzuweisen, sammeln die Spione diese heimlichund zahlen gut für diskrete Hinweise, so wie die Dienste anderer Staaten auch. Anders gesprochen, wird mit öffentlichem Geld dafür gesorgt, dass Software fehlerhaft bleibt – und die Öffentlichkeit gefährdet. Besonders da der Dienst seine eigenen Geheimnisse nicht geheim halten konnte: Im vergangenen Sommer brüstete sich eine Gruppe anonymer Hacker namens Shadow Brokers damit, NSA-Material erbeutet zu haben, zu dem auch die Sicherheitslücke gehörte, die sich nun als jene hinter WannaCry herausgestellt hat. Der oberste Jurist von Microsoft, Brad Smith, schrieb am Sonntag im Firmenblog, das sei so, als ob das US-Militär "sich ein paar Tomahawk-Raketen stehlen ließe".

Zweitens: die Hersteller, hier also der Windows-Konzern Microsoft. Der hat sich von März bis Mitte Mai Zeit gelassen, um Millionen Nutzer zu schützen – und es erst getan, als es für Abertausende von ihnen längst zu spät war. Denn während Nutzer des aktuellen Windows 10 und mehrerer Vorgängerversionen vor zwei Monaten mit einer Aktualisierung ("Patch") versorgt worden waren, welche die betreffende Lücke lange vor dem Angriff schloss, blieb Windows XP außen vor. Gegenüber der ZEIT betont der Hersteller, dies sei ein altes System aus dem Jahr 2001 und man habe lange angekündigt, die Aktualisierungen für XP einzustellen, was schließlich im Jahr 2014 geschah. Beides stimmt ja auch. Aber bis heute läuft eben noch etwa jeder zwanzigste Windows-Rechner mit diesem alten System. Als das sich als besonders anfällig für WannaCry zeigte, verteilte Microsoft ausnahmsweise doch noch ein Update für XP. Es kam am Freitag, als die Attacke längst lief.