Mehr Ver­antwortung für den Cyberspace – aber wie?

Der öffentliche und internationale Diskurs über Sicherheit und Frieden im Cyberraum und die künftigen Gefahren katastrophaler Cyberkonflikte haben sich in den letzten Jahren verschärft und zugespitzt. Einerseits wird insbesondere vom Westen der Erhalt eines „offenen, sicheren und friedlichen“ Cyberspace vertreten, andererseits treffen Staaten nicht nur Vorbereitungen für eine effektive Cyberverteidigung, sondern sie sind schon seit Längerem aktiv in Form von nachrichtlichen Operationen im Cyberraum tätig. Das Risiko von Cyberangriffen mit fatalen Folgen steigt, da die moderne Welt immer stärker vernetzt und „computerisiert“ wird. Diese Entwicklung wird sich mit der forcierten Digitalisierung weiter fortsetzen. Stichworte sind hier das „Internet of Things“ (IoT) und das „Advanced Manufacturing“ (zum Beispiel mithilfe von 3-D-Druckern), aber auch die Debatte um künstliche Intelligenz.

Zudem werden zunehmend aggressive Formen von Cyberoperationen wie Hack-back, Cyberoffensiven et cetera diskutiert, vorbereitet und teilweise sogar schon durchgeführt.¹ Rund 30 Staaten sollen laut der letzten Bedrohungsanalyse der USA über offensive Cyberfähigkeiten verfügen, also das Vermögen, in die Computer anderer Staaten einzudringen, sensible Informationen zu stehlen, zu manipulieren oder automatisierte Prozesse zu unterbrechen. Die USA selbst sind hier technologisch ein wesentlicher Trendsetter. 

Auch Organisationen wie die NATO, die OSZE und die Europäische Union haben die Cybersicherheit zu einer neuen Aufgabe er­hoben. Maßnahmen zur Vertrauensbildung werden ebenso diskutiert wie offensive Strategien, ­Abschreckung oder Rüstungskontroll­vorschläge.

Die Bundeswehr legt sich eine Teilstreitkraft zur „Cyberverteidigung“ mit insgesamt 13 500 Dienstposten im neu gegründeten Kommando Cyber- und Informationsraum zu. Zum einen soll sowohl im Inland als auch im Einsatzland im Rahmen einer nationalen Gefahrenabwehr der Einsatz, Schutz und Betrieb des IT-Systems der Bundeswehr zusammengeführt und gestärkt werden. Zum anderen sollen die Fähigkeiten zur Aufklärung und Wirkung im Cyber- und Informationsraum verbessert und weiterentwickelt werden. 

Was bedeutet das nun aber in einer zunehmend vernetzten und von digitalen Technologien bestimmten Welt? In welchem internationalen Umfeld findet diese Entwicklung statt, und welche Beschränkungsmaßnahmen können national, EU-weit oder international ergriffen werden? Angesichts des schnellen technologischen und sicherheitspolitischen Wandels gibt es darauf keine einfachen Antworten. Die Schaffung von Institutionen wie dem Cyber-Abwehrzentrum oder einer schnellen Eingreiftruppe seitens des BSI beantwortet diese Fragen allein nicht. Wenn Soldaten auch „im Cyberraum operieren“ sollen, müssen klare Definitionen, Maßstäbe und Verhaltensregeln geschaffen werden, um die Verpflichtungen des internationalen Völkerrechts einzuhalten und ein digitales Wettrüsten zu verhindern. Darüber hinaus müssen Staaten geeignete Normen und Prinzipien festlegen, damit zum Beispiel das Internet nicht weiter militarisiert wird. Umso mehr kommt der Außen- und Friedenspolitik die Aufgabe zu, sich um eine konsistente Strategie für die Gefahrenvorsorge, eine sinnvolle Ressourcenverteilung und belastbare Defensivkonzepte zu kümmern. Auch international müssen die EU und Deutschland sich angesichts eines verschärften Wettbewerbs zwischen den USA, China und Russland stärker positionieren.

Grundlegendes zu Konflikten im Cyberraum

Heute werden die zeitlichen und räumlichen Grenzen von Kriegen aufgeweicht. Das Internet selbst kennt keine territorialen Grenzen. Geheime Operationen, hybride Kriegführung oder Propagandakriege sind übliche Schlagworte in diesem Kontext. Treffend stellt die ressortübergreifende „Cyber-Sicherheitsstra­tegie für Deutschland 2016“ dazu unter anderem fest: „Innere und äußere Sicherheit im Cyberraum sind nicht mehr trennscharf voneinander abzugrenzen.“² Diese Erkenntnis ist weder neu noch besonders zielführend. Sie stellt aber neue Fragen an die Zuständigkeit, Verantwortungsbereiche und mögliche Effi­zienzmaßnahmen der beteiligten Ressorts (Bundesinnen- und Verteidigungsministerium und Auswärtiges Amt). Eine einfache Antwort gibt es darauf sicher nicht, denn viele Faktoren in der „schönen neuen“ Cyberwelt bleiben vage. Dies beginnt bei der Einschätzung der Bedrohungslage und reicht über Definitionsfragen bis hin zur effektiven und personell kompetenten Vorbereitung geeigneter und wirkungsvoller aktiver und passiver Gegenmaßnahmen. Dabei steht auch die internationale Debatte vor mehreren kaum zu umgehenden Hindernissen.

Cyberwar ist ein Begriff, der oft verwendet wird, aber kaum eindeutig bestimmbar ist. Eine international akzeptierte Definition existiert bisher nicht. Das aktuelle Einsatzspektrum von Cyberangriffen ist breit und fluid.³ Es reicht von DDoS-Angriffen, Datendiebstahl, Aufklärung und Spionage über Sabotage (Stuxnet) bis hin zu potenziell aktiven Kriegshandlungen. 

Militär und Nachrichtendienste überwinden technische Barrieren und dringen bereits heute in die Computersysteme anderer Staaten ein. Die Gründe sind vielfältig: Sie können psychologischer Natur sein oder der Vorbereitung weiterer Angriffshandlungen („preparing the battlefield“) dienen, aber auch die Schwächung eines Opponenten zum Ziel haben. Ziele solcher Angriffe sind nicht nur militärische Einrichtungen, sondern auch industrielle Anlagen (Ölproduktion, Energieversorgung, Finanzsystem), also im weitesten Sinne zivile kritische Infrastrukturen. Dabei können die Motivationen und Fähigkeiten der Akteure sehr unterschiedlich sein. Entscheidend ist, dass die heutige Software- und auch Hardwareentwicklung viele Verwundbarkeiten offenlässt und die Überwindung von Sicherheitsbarrieren möglich macht.

Cyberangriffe können Teil einer umfassenden Operation sein und auch eine militärische Komponente beinhalten. So bombardierte Israel einen noch nicht betriebsbereiten Nuklearreaktor in Syrien, nachdem die Luftabwehr, das heißt Radar und Abwehrraketen, elektronisch ausgeschaltet worden war. 2007 wurden estnische Regierungs-, Banken- und Medienseiten blockiert; zu dem Angriff bekannte sich später eine kremltreue russische Jugendorganisation. 2008 führte wahrscheinlich Russland koordinierte Cyberoperationen und konventionelle Angriffe gegen Georgien aus. Präsident Obama gab 2016 bekannt, dass Cyberoperationen bei der Offensive gegen den IS genutzt wurden. Weitere Beispiele lassen sich finden. Nicht nur der Stuxnet-Wurm, der gegen die iranischen Zentrifugen eingesetzt wurde, zeigt die Charakteristika einer Cyberwaffe. Dazu gehört ein Träger mit einer „Nutzlast“, die modular aufgebaut gegen unterschiedliche Ziele eingesetzt werden kann. Auch die Wirkungen von solcher disruptiven Malware sind schwer einzuschätzen. Die Malware NotPetya wurde durch eine russische Hackergruppe gegen die Ukraine eingesetzt, traf aber wohl unbeabsichtigt auch die Spedition Maersk, deren Betrieb kurzzeitig eingestellt werden musste. Weitere Bespiele sind die Erpressungssoftware WannaCry und Bad Rabbit. Diese Aktionen richten erheblichen ökonomischen oder psychologischen Schaden an, gelten aber nicht als unmittelbare Kriegshandlung.

Heute treten aber auch vermehrt Cyberangriffe in aktuellen Konfliktkonstellationen auf: So gelang es 2016 wahrscheinlich russischen Hackern, eine Hochspannungsanlage nahe Kiew auszuschalten (Operation Crash Override). Die Angriffe gegen Sony Pictures im Jahr 2014 wurden von der Obama-Administration als „kriegerische Handlungen“ Nordkoreas eingeschätzt, aber militärische Aktionen blieben aus. Typische Gegenreaktionen sind bis heute öffentliche Anklagen, Sanktionen oder das Ausweisen von Diplomaten, nicht jedoch aktive „kinetische“ Kriegshandlungen. Daran wird aber auch deutlich, dass letztlich jeder Staat für sich entscheiden wird, ob eine kriegerische Handlung vorliegt oder nicht.

Weiterführend wäre es, wenn der UN-Sicherheitsrat hier eine klare Regelung basierend auf den Prinzipien des humanitären Völkerrechts erarbeiten würde. Bisher ist der Cyberraum eine Domäne asymmetrischer politischer Kriegführung, verbunden mit einer Diplomatie von Zwangsmaßnahmen (also beispielsweise Sanktionen oder Embargos). Auch finden im Internet viele geheime Operationen statt, die eskalieren können, aber die bisher nicht eine klassische Kriegsschwelle erreicht haben. Dies kann sich jedoch in Zukunft ändern. Festzuhalten ist zudem, dass Cyberwaffen proliferieren oder von anderen Staaten gestohlen (Beispiel Eternal Blue) werden können.

„Militarisierung des ­Cyberraums“ durch Staatenkonkurrenz?

Das Worldwide Threat Assessment der US-Regierung setzt „Cyberbedrohungen“ auf Seite eins der globalen Bedrohungen und nennt als Akteure Russland, China, Nordkorea, Terroristen und Kriminelle. Weiter formuliert die US-Analyse: „Viele Länder betrachten Cyberfähigkeiten als ein geeignetes Instrument zur Projektion ihres Einflusses und werden die Cyberfähigkeiten weiterentwickeln.“⁴ Cyberoperationen gegen das nordkoreanische Raketenprogramm im Sommer 2017 unterstreichen den Anspruch und die Bereitschaft der USA, im Cyberspace militärisch aktiv zu werden – auch wenn die Maßnahmen in diesem Fall nicht zu dem gewünschten Ergebnis geführt haben. Zu einer Eskalation ist es bisher nicht gekommen, und auch die Wirkung war eher begrenzt. Das muss aber nicht immer so bleiben. Ein künftiger Krieg, verbunden mit massiven Cyberangriffen, liegt im Bereich des Möglichen. 

Die strategischen Dokumente der Trump-­Administration haben den „Machtwettbewerb zwischen den USA, Russland und China“ als Paradigma für das 21. Jahrhundert ausge­rufen, und dementsprechend spricht die Cyberpolitik der USA eine aggressivere Sprache als noch unter Obama. Sie wird unterstützt durch die Interviews des Sicherheitsberaters John Bolton und die Sprache des Vision Statement des U. S. Cyber Command mit dem Titel „Achieve and Maintain Cyberspace Superiority“.⁵ Darin wird zu „persistenten Aktionen“ aufgerufen, um die „Cyberüberlegenheit der USA“ zu bewahren. Offensive präventive Aktionen werden damit also zum Normalfall erklärt. Dies findet sich vor dem Hintergrund des wiederauflebenden Wettbewerbs wieder in der National Defense Strategy (2018) und der National Security Strategy (2017). Laut der gemeinsamen Publikation „Cyberspace Operations“ der US-Stabschefs vom 8. Juni 2018 zielen offensive Cyberoperationen darauf ab, „Macht in und durch den ausländischen Cyberraum zu projizieren“.⁶ In der neuen Cyber Strategy 2018 und der Cyber Posture Review wird als zentrales Thema unter anderem „die Nutzung des Cyberraums zur Stärkung der militärischen Letalität und Effektivität“⁷ angegeben. Eine Studie des CATO-Instituts folgert daraus: „Der Cyberraum wird eine Domäne für Soldaten, nicht nur ein Netzwerk für Spione.“⁸

Russland benutzt statt des Präfix „Cyber“ den Begriff „Information“ und hat selbst 2016 eine Doktrin für „Information Security“ vorgestellt.⁹ Zum einen fürchtet man besonders die „Destabilisierung“ seitens fremder Staaten durch „Informations- und psychologischen Einfluss“. Zum anderen bezieht hier der Begriff „Informationssphäre“ viel stärker den Inhalt der Information selbst ein, die im Internet verbreitet wird. Damit werden im Verbotsfall die Möglichkeiten verstärkter Zensur im Land geschaffen. Zusätzlich möchte Russland eine eigene, gut kontrollierbare Version des Internets aufbauen. Es kann als sicher gelten, dass eine neue Cyberdoktrin als Reaktion auf die aktuelle US-Doktrin ebenfalls aggressivere Elemente beinhalten wird. Nicht zuletzt wird Russland von den USA massiv verdächtigt, mit Cyberoperationen in die US-Präsidentschaftswahlen 2016 eingegriffen zu haben.

Auch China verwendet nicht den Cyberbegriff, sondern spricht stets von „Informationsbedrohungen“. Das Land führt seit Jahrzehnten Cyberspionage-Operationen insbesondere gegen die USA durch.¹⁰ Ein Element ist der Diebstahl von geheimen militärischen Informationen, aber auch von solchen aus der Wirtschaft (Patente et cetera). Beim Treffen der Präsidenten Obama und Xi Jinping 2015 vereinbarte man eine Art Stillhalteabkommen. In der Tat gingen die chinesischen Angriffe zurück. Dies zeigt, dass bilaterale Abkommen durchaus Wirkung zeigen können. Die digitale Aufrüstung der Zukunft verhindern können sie jedoch kaum, zumal diverse andere Staaten sich auf defensive und offensive Operationen im Cyberraum vorbereiten. 

Mögliche friedens­konsolidierende Maßnahmen für den Cyberraum – national und international

Die internationale Gemeinschaft diskutiert, insbesondere seit den Stuxnet-Fällen 2010, internationale Aktionen, Regeln und Instrumente, um ein ausuferndes digitales Wettrüsten zu verhindern und eine schrittweise Militarisierung des Internets zu dämpfen. Hierbei stellen sich viele neue Fragen: Ist sichergestellt, dass Cyberoperationen nicht zu einer realen Eskalation und sogar zu kriegerischen Handlungen führen werden? Wie können die verschiedenen Akteure, das heißt Staaten, Industrie und Zivilgesellschaft, zusammenarbeiten, damit ein „einheitliches, sicheres und friedliches“ Internet erhalten bleibt? Können angesichts der Unübersichtlichkeit, Größe und der Gesetze des Cyberraums Prinzipien und Regeln effizient und überprüfbar aufgestellt werden, um katastrophale Cyberaktionen zu verhindern? Im Gegensatz zum klassischen Rüstungskontrollacquis ist der Cyberraum für jedermann offen, schnell wachsend, sich technologisch schnell verändernd und wird zudem hauptsächlich von privatwirtschaftlichen Akteuren betrieben. Die Einbeziehung von Zivilgesellschaft, Wirtschaft und Industrie ist bei künftigen Regelungen also unbedingt notwendig. 

Im Cyberraum gilt: „Die beste Defensive ist eine gute Defensive.“¹¹ In den letzten zehn Jahren wurden auf verschiedenen Ebenen erhebliche Bemühungen unternommen, um international gemeinsame Regeln aufzustellen und zu implementieren. Im Rahmen der Tallinn Manuals (Vol. I und Vol. II) wurden im NATO-Kontext völkerrechtliche Regeln erarbeitet, die in Bezug auf die Anwendbarkeit des Völkerrechts viele rechtliche Fragen angesprochen haben. Zunächst sind auf nationaler Ebene Regierungen im Rahmen der Katastrophen- und Kriegsvorsorge herausgefordert, ihre eigenen digitalen Strukturen zu schützen oder resilient auszugestalten. Dazu gehören die Steigerung der Awareness bei den Nutzern, eine gute Frühwarnung und Verwundbarkeitsanalyse, ein „Attribution Scanning“ sowie resilientere Netzstrukturen. Auch die Rüstungsexportkontrolle muss einbezogen werden, denn nur so kann verhindert werden, dass gefährliche Malware in die Hand von feindlichen Staaten gelangt.¹²

Zudem müssen Entscheidungsträger die nötige technologische Expertise haben, um in Krisen die richtigen Urteile zu fällen. Da Cybersicherheit im Friedens- und Kriegsfall eine ressortübergreifende Aufgabe ist, sollten ein verstärkter personeller Austausch zwischen den Bundesbehörden und abgestimmte Fortbildungsmaßnahmen die „ressortübergreifende Resilienz“ stärken. Ebenso braucht es zwingend ein besseres Verständnis neuer technologischer Entwicklungen wie künstlicher Intelligenz. Eine enge Zusammenarbeit der Behörden mit Industrie und Wissenschaft ist hier unabdingbar. Eine standardmäßige „Ende-zu-Ende-Verschlüsselung“ für die Kommunikation wäre ein wichtiger Schritt.

Stärkerer Schutz und Zurückhaltung bei offensiven Aktionen wären wesentliche Voraussetzungen für den Erhalt des frei zugänglichen Cyberraums. Analysen zeigen, dass diese Ziele von der jeweiligen Sicherheitspolitik der Staaten abhängig sind. Der aggressivere Wettbewerb zwischen den USA, China und Russland fordert von der Europäischen Union eine klare Positionierung. Mittelmächte wie Australien, Deutschland oder Kanada hätten hier die Aufgabe, entsprechende Cyberregeln für eine „friedliche und stabile Cybersphäre“ gegenüber Staaten wie USA, Russland oder China voranzutreiben. International sind sowohl auf UN-Ebene (UN Group of Governmental Experts) als auch bei regionalen Organisationen wie der OSZE und ASEAN in Arbeitsgruppen wichtige Schlussfolgerungen und konkrete Vorschläge für vertrauensbildende Maßnahmen im Cyberraum erarbeitet worden. Diese beinhalten zum Beispiel gegenseitige Informationspflichten bei Cyberangriffen beziehungsweise bei der Aufstellung von Cyberdoktrinen oder das Verbot von Angriffen auf kritische Infrastrukturen.¹³ In erster Linie mangelt es aber bisher an der Bereitschaft führender Staaten, diese Vorschläge auch aufzugreifen, glaubwürdig zu implementieren oder im internationalen Diskurs weiterzuentwickeln. Echte Transparenz in Bezug auf offensive Operationspotenziale, Cyberdoktrinen und die Funktion damit befasster Institutionen wäre ein Schritt vorwärts. Voraussetzung dafür ist dabei das gemeinsame Verständnis zentraler Begriffe wie Cyberangriff oder Cyberwaffe sowie deren Schadensdimension. Dies ist jedoch nur schwach ausgebildet und damit für jegliche Interpretation und künftige Anwendung offen. Staaten müssen hier eine gemeinsame Grundlage entwickeln. Ein von der UN gesponsertes gemeinsames Glossar als erster Schritt wäre hier hilfreich.

Das Problem der Attribution im Cyberraum erscheint kaum lösbar, dennoch müssen forensische Standards und Einrichtungen entwickelt werden, die mögliche Untersuchungen von Cyberzwischenfällen vornehmen können.¹⁴ Aus den Transparenz- und Verifikationsregeln der etablierten Rüstungskontrolle (zum Beispiel Internationale Atomenergiebehörde, Organisation für das Verbot chemischer Waffen, Organisation des Vertrags über das umfassende Verbot von Kernwaffen) kann hier einiges gelernt werden.

Soldaten müssen dazu ausgebildet werden, im Einsatz die Prinzipien des humanitären Völkerrechts (vor allem Verhältnismäßigkeit, Diskriminierungsgebot, militärische Notwendigkeit) auch bei Konflikten im Cyberraum anwenden zu können. Gemeinsame Übungen mit befreundeten Staaten können helfen, Erfahrungen zu sammeln und Krisen im Verbund zu bewältigen.

Firmen wie Microsoft („Digital Geneva Convention“) oder Siemens („Charter of Trust“) haben eigene Vorschläge und Prinzipien ausgearbeitet, die das Verhalten von Firmen und Einzelnutzern für ein „stabiles und friedliches“ Internet positiv gestalten sollen. Die Non-Profit-Organisation Access Now setzt sich für den Schutz der digitalen Rechte der Nutzer weltweit ein und bietet Hilfe an, wenn Nutzer angegriffen oder ausspioniert werden. Der von Präsident Macron initiierte „Paris Call für Vertrauen und Sicherheit im Cyberraum“ hat viele Unterstützer gefunden und setzt sich für die Einhaltung fundamentaler Prinzipien in dieser Sphäre ein.¹⁵ Dies trägt sicher zur Bewusstseins- und Verantwortungsbildung der wichtigen Nutzerkreise bei, wird aber kaum entscheidend helfen, problematische staatliche Akteure bei den Nachrichtendiensten oder dem Militär mancher Länder zu erreichen.

Mittelfristig sind Transparenz- und Rüstungskontrollregelungen notwendig, wenn es zu nachweislichen Kriegshandlungen unter Nutzung von disruptiven Cybertools kommen kann. Eine unmittelbare Übertragbarkeit der heutigen Rüstungskontrollarchitektur auf das Verbot von Cyberwaffen erscheint kaum möglich, da der Cyberraum nur extrem schwer zu kontrollieren ist, Cyberwaffen immateriell sind und unterschiedliche Schadenswirkungen haben.¹⁶ Dennoch ist der Erhalt eines „offenen, friedlichen, frei zugänglichen, stabilen und sicheren“ Cyberraums ein Ziel, das im Interesse der Staatenwelt liegt. In Bezug auf die Begrenzungen gefährlicher Angriffsvektoren, die Vermeidung von katastrophalen Schadenswirkungen und nicht zu kontrollierenden Eskalationspotenzialen kann man von dem jahrzehntelangen Entwicklungsprozess vertragsgebundener Rüstungskontrollregelungen einiges lernen. 

Längerfristig stellt sich auch die Frage, was man unter einem dauerhaften Cyberfrieden verstehen kann, den ja viele Akteure immer wieder fordern. Scott J. Shackelford schreibt dazu: „Cyberfrieden ist nicht das Fehlen von Angriffen oder Ausnutzung, eine Idee, die man als negativen Cyberfrieden bezeichnen könnte. Vielmehr handelt es sich um ein Netzwerk von mehrstufigen Regimen, die zusammenarbeiten, um die globale, gerechte und nachhaltige Cybersicherheit zu fördern, indem sie Normen für Unternehmen und Länder klären, die dazu beitragen, das Risiko von Konflikten, Kriminalität und Spionage im Cyberspace auf ein Niveau zu senken, das mit anderen geschäftlichen und nationalen Sicherheitsrisiken vergleichbar ist.“¹⁷ Interessanterweise fehlt bei dieser hilfreichen Definition noch der Begriff des Krieges. Es bleibt also noch einige Arbeit zu tun.

Ich danke Jantje Silomon, Oxford und Hamburg, für vertiefende Kommentare und Quellen.