Hacking of the Maine?

Eine Expertenrunde berät über Gegenschläge im Fall ausländischer Angriffe auf die IT-Infrastruktur, obwohl das Problem der Verursacheridentifikation weiterhin ungelöst ist

Derzeit berät eine mit Vertretern des Innen-, Außen- und Verteidigungsministeriums sowie der Geheimdienste bestückte Expertenrunde über einen neuen Rechtsrahmen für Gegenschläge im Fall ausländischer Angriffe auf die IT-Infrastruktur. Dass dies seiner Ansicht nach notwendig ist, begründete Innenminister Thomas de Maizière mit dem Satz: "Wenn wir identifiziert haben, woher ein Cyber-Angriff kommt, müssen wir ihn aktiv bekämpfen können."

Dieses "wenn" ist allerdings ein großes "wenn" - ein sehr großes: Ist ein Angreifer nämlich nicht sehr unfähig oder will offen provozieren, bleibt es mit den heutigen forensischen Möglichkeiten bei der Suche nach Ursachen nämlich bei Vermutungen (vgl. Bundeswehr soll sich mit einem Cyberkommando zum Cyberwar formieren). Das gilt sowohl für den großflächigen Ausfall von Telekom-Routern im letzten Jahr als auch für die Herkunft der öffentlich gewordenen Mails von Politikern der US-Demokraten.

Angreifer müsste Angriff zugeben

Gibt es Spuren in ein bestimmtes Land, ist durchaus möglich, dass der Angreifer diese Spuren absichtlich gelegt hat. Und auch dann, wenn man davon ausgehen würde, dass niemand so raffiniert ist, bleibt offen, ob es sich bei den Angreifern dort um abenteuerlustige Privatleute, kriminelle Unternehmen mit Gewinnerzielungsabsicht oder staatlich Beauftragte handelt. Ausnahmen davon gibt es eigentlich nur dann, wenn Regierungen so etwas offen zugeben, wie das zum Beispiel die äthiopische macht, die die Rechner von Oppositionellen im Exil ausspioniert (vgl. Äthiopische Regierung hackt Computer in den USA).

Deshalb könnte es beim derzeitigen Stand der Technik leicht dazu kommen, das ein Land als vermeintlicher (aber nicht tatsächlicher) Verursacher angegriffen wird, wie das 1898 - noch ganz ohne Computer - im spanisch-amerikanischen Krieg geschah: Damals war Spanien für die US-Mainstreammedien das, was heute Russland ist - und als im Hafen von Havanna das US-Kriegsschiff Maine explodierte und 260 Männer in den Tod riss, stand für die Zeitungen schnell fest, dass nur ein spanischer Terroranschlag die Ursache dafür sein konnte.

Das "Sinking of the Maine" war für die US-Regierung damals Grund genug, einen Krieg mit Spanien anzufangen und dem Land neben Kuba und den Philippinen auch zahlreiche Pazifikinseln abzunehmen. 1976 untersuchten Experten das Wrack der Maine mit fortgeschritteneren Methoden und kamen zum Ergebnis, dass das Schiff nicht wegen einer Bombe oder Mine, sondern wegen eines Kohlebrandes in die Luft flog.

SZ: Verfassungsschutz möchte neue Aufgabe haben, BND und Bundeswehr reißen sich nicht darum

Wahrscheinlich nicht zuletzt wegen der Schwierigkeiten bei der Beweisführung gibt es in anderen Ländern bislang kaum klare Rechtsgrundlagen für "Cyber"-Gegenangriffe. Stattdessen bevorzugt man allgemeine Befugnisse für Auslands- und Militärgeheimdienste, unter die bei Bedarf auch Eingriffe in die IT-Infrastruktur subsumiert werden können. Das könnte man auch in Deutschland so handhaben, wenn man dem BND oder der Bundeswehr entsprechende Weisungen erteilt. Informationen der Süddeutschen Zeitung nach bemühen sich die beiden Stellen allerdings nicht sehr um diese Aufgabe, während der Verfassungsschutz (der eigentlich nur ein Inlandsgeheimdienst sein sollte) vorgeprescht ist und auf mehr Mittel und Personal hofft.

Die Frankfurter Allgemeine Sonntagszeitung (FAS) hatte im Dezember unter Berufung auf anonyme Quellen berichtet, das Innenministerium plane "innerhalb von zwei bis drei Jahren […] eine Einheit von IT-Spezialisten auf[zu]stellen, die bei Cyber-Angriffen auf die kritische Infrastruktur in Deutschland mit Gegenattacken antworten" und Server im Ausland als "Angriffswerkzeuge […] lahmlegen" soll. Die "Notwendigkeit", so zu agieren, ist dem Bericht nach aus Sicht des Innenministeriums dann gegeben, "wenn ein Land, von dem die Angriffe ausgingen, nicht zur Kooperation bereit" ist.

CCC-Vertreter fordern klare Haftungsregeln und Open-Source-Entwicklung

Constanze Kurz und Frank Rieger vom Chaos Computer Club (CCC) kritisierten diese Pläne als falschen Ansatz. Sie forderten stattdessen "ökonomische Anreize und rechtliche Regeln, die Sicherheit für alle über Profite stellen". Durch klare Haftungsregeln können Hardwarehersteller ihrer Ansicht nach dazu gebracht werden, keine Geräte mehr auszuliefern, "die nicht auf dem aktuellen Stand der IT-Sicherheit sind". Hinsichtlich der Software empfehlen sie, dass man "nach Sicherheitskriterien entwickelte, geprüfte und gepflegte Open-Source-Software konsequent und auch finanziell" fördert.

Parallel zu den Berliner Expertengesprächen verhandelt man bei der OSZE und im Office of Disarmament Affairs der UNO gerade über internationale Regeln zum Umgang mit "Cyber"-Angriffen. Die vom deutschen Diplomaten Karsten Geier UNO-Gruppe soll die Ergebnisse im Juni vorlegen.