zurück zum Artikel

Gefragt ist nicht nur Verteidigung, sondern man will auch Angriffskapazitäten, riskant ist, dass Angreifer kaum ausgemacht werden können und das Recht auf Selbstverteidigung im Cyberspace ungeklärt ist

Alle Staaten, die es sich leisten können, rüsten für den drohenden Krieg im Cyberspace, zumal gerade die hoch entwickelten Länder in allen Bereichen, inklusive der militärischen Kapazitäten, immer abhängiger vom Funktionieren der digitalen Infrastruktur und der Netzwerke werden. Neuerdings hat sich auch die Bundeswehr entschlossen [1], die bereits bestehenden Einheiten in einem Kommando bündeln zu wollen, wie dies etwa das Pentagon schon vor Jahren gemacht hat, nachdem man den Cyberspace als weiteres und eigenständiges Kampffeld zu den traditionellen Räumen Land, See, Luft und Weltraum hinzugefügt hat und überhaupt die netzbasierte Kampfführung zentral wurde.

Am Donnerstag wird Verteidigungsministerin von der Leyen auf einer Bundeswehrveranstaltung, einem "Experten-Workshop" über "Perspektiven der Cybersicherheit" [2], im Rahmen der Erstellung eines neuen Weißbuches über den Cyberwar sprechen. Sie hatte schon mal angekündigt [3], dass die "Abwehrfähigkeit im Cyber-Bereich" aufgebaut werden müsse und dabei das Zusammenwirken zwischen Wirtschaft und Sicherheitspolitik wichtig sei. Jetzt heißt es nicht weniger allgemein: "Cyber-Attacken auf Wirtschaft und Staat in Deutschland werden künftig an Zahl und Stärke deutlich zunehmen. Als hoch entwickeltes und technisiertes Land ist Deutschland für Angreifer ein lohnendes Ziel. Wir müssen uns noch viel besser gegen diese neue Bedrohung wappnen. Der Bundeswehr kommt dabei eine wichtige Rolle zu, um im engen Schulterschluss mit anderen Institutionen einen Schutz gegen Cyber-Angriffe von außen zu gewährleisten. " Wahrscheinlich auch dazu, neben der eingegangenen Verpflichtung, die Rüstungsausgaben auf 2 Prozent des BIP zu erhöhen, soll der Wehretat 2016 auf 34,37 Milliarden Euro ansteigen, 4,2 Prozent mehr als 2015.

Der "Cyber-Raum", so heißt es in der "Strategischen Leitlinie Cyber-Verteidigung" [5], die von Netzpolitik.org im Juli veröffentlicht wurde, ist ein eigener "Operationsraum". Definiert wird der "Cyber-Raum" "als virtueller Raum aller auf Datenebene vernetzten IT-Systeme im globalen Maßstab", dazu kommen alle "IT-Systeme, die über Datenschnittstellen verfügen, ansonsten aber von öffentlich zugänglichen Netzen und dem Internet separiert sind".

Zwar wird vor allem über Verteidigung und Schutz gesprochen, aber natürlich soll die Bundeswehr auch im Cyberspace offensiv agieren. Dabei hält man sich aber sehr bedeckt, wie dies auch bei allen Cyberstrategien der anderen Länder noch die Regel ist, während man bei den "realen Waffen", die auch auf dem Weltmarkt gehandelt werden, den Zug zum demonstrativen Vorzeigen auf Paraden, Übungen oder Messen zur Abschreckung pflegt. In der Leitlinie heißt es dunkel: "Da auch ein Gegner von seinen eigenen Fähigkeiten im Cyber-Raum und den von ihm genutzten Ressourcen des Cyber-Raums abhängig ist, müssen im Rahmen eines militärischen Einsatzes Wirkmöglichkeiten vorhanden sein, um ihn in der Nutzung dieser Fähigkeiten und Ressourcen zu behindern oder sie ihm gegebenenfalls völlig zu verwehren. Dazu können auch zielgerichtete und koordinierte Maßnahmen zur Beeinträchtigung von fremden Informations- und Kommunikationssystemen sowie der darin verarbeiteten Informationen dienen, wie sie von den Kräften für Computer-Netzwerkoperationen durchgeführt werden können."

Zu vermuten ist allerdings, dass die Bundeswehr im Cyber-Wettrüsten ähnlich abhängig von den USA sein wird, wie dies bei den Geheimdiensten immer deutlicher wird. Zudem steigt mit der geheimen Hochrüstung der Angriffs- und Verteidigungswaffen die Gefahr, nicht nur in einen Cyberwar hineingezogen zu werden, sondern auch in einen konventionellen Krieg mit "kinetischen Waffen". Es gibt noch keine Definition dessen, was ein Cyberwar ist, vor allem nicht, was ein Cyberangriff wäre, der einen Rückschlag mit Cyberwaffen oder auch mit kinetischen Waffen legitimiert. Das Pentagon hatte Ende April nach dem Cyberangriff auf Sony die ursprüngliche Drohung, auf Cyberangriffe mit allen Mitteln, bis hin zu Atomwaffen, reagieren zu können, etwas zurückgefahren, um die Drohung bzw. die Abschreckungswirkung nicht unglaubwürdig zu machen, wenn man dann doch nicht zurückschlägt - ob der kurzzeitige Ausfall des nordkoreanischen Internet auf das Pentagon zurückgeht, ist nicht klar, selbst das Weiße Haus hatte Nordkorea für den Angriff auf Sony verantwortlich gemacht. Für die Nato könnte ein Cyberangriff den Artikel 5, die Beistandspflicht, auslösen. In der Cybersicherheitsstrategie des Pentagon heißt es nun, man würde bei einem "schweren Cyberangriff" militärisch zurückschlagen, ohne dies näher zu definieren. Dazu müsse es "effektive Mittel", also offensive Cyberwaffen, geben.

Das Hauptproblem bei Cyberangriffen als der Vorstufe zu einem möglichen Cyberwar aber ist, dass bislang in der Regel nicht zweifelsfrei festgestellt werden kann, wer für einen Angriff verantwortlich ist. Ganz entscheidend sei daher, so das Pentagon, den Angreifer identifizieren zu können, denn es genügt keineswegs nur festzustellen, woher ein Angriff erfolgt ist und ob er staatlich beauftragt wurde oder von Hackern, die vielleicht im Auftrag eines Staats, des Militärs oder eines Geheimdienstes arbeiten, oder Kriminellen ausgeführt wurde.

Wann darf oder muss man "zurückschießen"?

Ein Krieg gegen einen Staat, in dem mutmaßliche Kriminelle bzw. Terroristen Unterschlupf fanden, wurde bereits gegen das von den Taliban beherrschte Afghanistan 2001 von den USA geführt, wäre aber bei einem Cyberangriff kaum zu verantworten, selbst wenn er ähnliche Folgen wie die Anschläge von 9/11 hätte. Zwar wurden bislang immer schnell Verdächtigungen ausgesprochen, wer hinter Angriffen gestanden haben soll, aber alle Regierungen hielten sich bislang zurück, offensiv und öffentlich "zurückzuschießen". Man kann allerdings darauf warten, dass dies einmal bei einem schweren Angriff mit unvorhersehbaren Folgen geschehen könnte - und dann könnte die Bundeswehr schnell über Artikel 5 mit in einem Cyberwar stehen.

Auch in Österreich war man mit diesem Problem gerade während eines Planspiels an der Wiener Landesverteidigungsakademie konfrontiert, wie Conrad Seidl im Standard berichtet [7]: "Brigadier Helmut Habermayer, oberster IT-Chef des Bundesheeres, stieß rasch an 'die Kernfrage: Wann darf das Militär im Cyberspace aktiv werden?' Denn eigentlich ist ein Einsatz des Bundesheeres nur im Verteidigungsfall vorgesehen. Aber ob der überhaupt eingetreten ist, merkt man in der Realität (und merkten auch die Übungsteilnehmer) erst mit Verzögerung. Schließlich sind technische Probleme oder ein krimineller Hackerangriff eben kein Anlass für militärisches Eingreifen. Habermayer jedenfalls wünscht sich mehr Befugnisse für das Bundesheer bei der Abwehr von Angriffen aus dem Internet - 'derzeit ist uns ja nicht einmal ein Hack-Back erlaubt'."

Das Pentagon behauptet jedenfalls, man habe in der letzten Zeit erhebliche Investitionen geleistet, um Angreifer identifizieren zu können, was nicht nur für die Bekämpfung, sondern auch zur Abschreckung wichtig wäre. Zweifel sind allerdings angebracht. Am vergangenen Freitag antwortete US-Präsident Obama im Fort Meade, Sitz des NSA und des US-Cyberkommandos, auf die Frage nach der Zukunft des Militärs im Cyberspace: Die Offensive bewegt sich viel schneller als die Verteidigung. … Die Russen sind gut. Die Chinesen sind gut. Die Iraner sind gut. Und es gibt nichtstaatliche Hacker, die exzellent sind. Im Unterschied zu traditionellen Konflikten und Aggressionen haben wir oft keine Absenderadresse." Wenn jemand in ein System hackt oder die kritische Infrastruktur zu schädigen sucht, könne man dies "nicht notwendig direkt mit diesem Staat oder jenem Akteur". Das mache die Situation schwierig.

Man müsse schneller militärisch reagieren, aber man stehe noch ganz am Anfang. Und er machte deutlich, wie ernst man dies im Weißen Haus und daher wohl auch im Cyberkommando sieht, als er drohte: "Es kommt zu einem Punkt, an dem wir dies als eine zentrale Bedrohung der nationalen Sicherheit betrachten werden." Wenn die anderen Staaten wie China nicht akzeptable Grenzen anerkennen könnten, "können wir dies zu einem Gebiet des Wettrüstens machen. Ich garantiere Ihnen, wir werden gewinnen, wenn wir dies tun müssen." Er erklärte, er werde bei dem Besuch des chinesischen Präsidenten Xi in Washington ansprechen, dass es "Praktiken" gibt, von denen man wisse, dass sie aus China kommen und die nicht akzeptabel sind (er vergisst natürlich zu erwähnen, dass die NSA bekanntlich nach den von Snowden geleakten Dokumenten auch in chinesische Systeme gehackt hat).

Vor dem Besuch wurde vom Weißen Haus überlegt, Sanktionen gegen China wegen angeblich von dort stammender Cyberangriffe und Cyberspionage zu verhängen. Beschuldigt wird China etwa, aus den Computersystemen des Office of Personnel Informationen über Millionen von Menschen entwendet zu haben, die eine Sicherheitsprüfung durchlaufen haben. Klar scheint [8] nun zu sein, dass man, um diplomatisch, aber auch sicherheitspolitisch nicht allzusehr ins Fettnäpfchen zu treten, auf keinen Fall Sanktionen verhängen wird, obgleich dies seit Wochen angedroht wurde. Angeblich wurden mit China inzwischen cyberpolitische Verhaltensregeln besprochen, die Gespräche sollen aber sehr offen, also hart gewesen zu sein, wie der Sprecher des Weißen Hauses sagte.

Aber gleich ob China, Russland oder Iran, immer ist das Problem, die Herkunft von Angriffen zu beweisen und ein Recht auf Selbstvereidigung geltend zu machen. Weil diese sich so durchführen lassen, dass die Täter anonym bleiben können, werden Cyberangriffe auch immer attraktiver, auch für die USA, weil sie unter Abwesenheit eines internationalen Cyberabkommens, das auch von den USA blockiert wird, in einem rechtlichen Niemandsland [9] stattfinden. Auch der forensische Nachweis, dass bestimmte Täter hinter einem Angriff stehen, lässt bislang nicht wirklich führen. So wurde von Computerexperten bestritten, dass der Angriff auf das OMP [10] auf China oder der auf Sony [11] auf Nordkorea zurückführbar ist.

Und wenn nicht eindeutig nachweisbar ist, dass Hacker direkt im staatlichen Auftrag gehandelt haben, ist nach dem Kriegsrecht der Staat, in dem diese ihre Angriffe geführt haben, nicht verantwortlich zu machen. So müsste also nachgewiesen [12], dass ein Staat nicht nur eine "Cyberwaffe" an einen nichtstaatlichen Akteur weitergegeben hat, sondern auch die nichtstaatlichen Akteure effektiv gesteuert hat.

Selbst wenn Täter bekannt sind, können sie nur in den betroffenen Ländern verfolgt werden, würden aber in China, Russland, Nordkorea oder auch in den USA nicht belangt werden. Derzeit ist man noch sehr vorsichtig, Sanktionen gegen ein Land zu verhängen, das man verdächtigt, Cyberangriffe zu führen, geschweige denn einen Cyberwar zu beginnen. Aber genau diese Zurückhaltung bei gleichzeitigem digitalen Wettrüsten macht die Situation immer gefährlicher. Schließlich verhindern auch die Geheimdienste der Staaten, dass der Einsatz der Cyberwaffen durch ein internationales Abkommen beschränkt werden, die sie zur Cyberspionage oder auch für destruktive Aktionen benutzen, beispielsweise als vermutlich amerikanische und/oder israelische Geheimdienste mit dem Wurm Stuxnet Zentrifugen in der iranischen Urananreicherungsanlage in Natanz schädigten.

Übrig bleiben Staaten, die angegriffen wurden, zwei Reaktionen, wie Benjamin Brake vom Council on Foreign Relations und Analyst im Bureau of Intelligence schreibt [13], die die aus der Unsicherheit entstehenden Risiken vergrößern und zu einem Cyberwar führen können, für den es noch kein Vorbild gibt: "Entweder können sie mit Gewaltanwendung in einer Weise reagieren, die in den Augen der internationalen Gemeinschaft als illegal betrachtet wird, oder sie können mit 'nicht Gewalt beinhaltenden Gegenmaßnahmen' wie kriminellen Sanktionen oder diplomatische Maßnehmen wie Ausweisungen reagieren. Die Folge von beidem würde die die wachsende Ansicht verstärken, dass der Cyberspace ein rechtloses Grenzgebiet (frontier) ist."

URL dieses Artikels:
https://www.heise.de/-3375488

Links in diesem Artikel:
[1] http://www.sueddeutsche.de/politik/bundeswehr-von-der-leyen-baut-fuer-den-cyber-krieg-um-1.2645494
[2] http://www.bmvg.de/portal/a/bmvg/!ut/p/c4/NYxNC8IwEET_UTapqOCttQhePHjRepE0XeJCPsp2Gy_-eFvQGXhzeDDwgKXJFvJWKCcb4A6do0P_Vn0sXo2M04S_iSSCFObkMSnL7kXlWWmzhdv6MqByOaGsFExCCz1byazGzBJWMzMvRtEAnTZto43-x3zq6njaXfYb056bK4wx1l-9r6Gf/
[3] http://www.bmvg.de/portal/a/bmvg/!ut/p/c4/NYuxDsIwDET_yE7YykZUBlYWSLe0jSKjxqmMUxY-nmTgTnrDPR1O2MrhoBSUCocNn-gXOs8fmPOR4FWqtBUyMb01CtWMj_5ZIyyFo3ZqZKXGJEGLwF5Et26qSDNAK3pjR2es-cd-h8k7fx3Maby5O-45X34ZYE07/
[4] https://de.wikipedia.org/wiki/Cyberkrieg#/media/File:KdoStratAufkl.svg
[5] https://netzpolitik.org/2015/geheime-cyber-leitlinie-verteidigungsministerium-erlaubt-bundeswehr-cyberwar-und-offensive-digitale-angriffe/#Strategische-Leitlinie-Cyber-Verteidigung
[6] http://www.westendverlag.de/buecher-themen/programm/florian-roetzer-smart-cities-im-cyberwar.html#.Vemzx5fpX6t
[7] http://derstandard.at/2000022329898/Heer-will-mehr-Befugnisse-um-Cyber-War-abzuwehren
[8] http://www.reuters.com/article/2015/09/15/us-usa-china-cybersecurity-idUSKCN0RF1ZT20150915
[9] http://www.yjil.org/docs/pub/36-2-waxman-cyber-attacks-and-the-use-of-force.pdf
[10] http://blogs.cfr.org/cyber/2015/06/05/data-breach-at-the-office-of-personnel-management-china-again-really/
[11] http://www.pbs.org/newshour/bb/debating-north-koreas-involvement-sony-hack/
[12] http://www.defenseone.com/ideas/2015/08/legal-problems-cyber-war-are-much-bigger-you-think/118883/?oref=search_cyberwar
[13] http://www.defenseone.com/ideas/2015/08/legal-problems-cyber-war-are-much-bigger-you-think/118883/?oref=search_cyberwar

Copyright © 2015 Heise Medien