Zuständigkeitschaos im Pentagon im Fall eines Cyberangriffs

Permanent wird die Gefahr eines schweren Cyberangriffs auf die USA beschworen, aber unklar ist, welches Kommando für die Katastrophenhilfe verantwortlich wäre

Seit vielen Jahren wird in den USA vor möglichen großen Cyberangriffen gewarnt, die das Land und/oder die Streitkräfte lahmlegen könnten. Schon vor 20 Jahren sprach man von einem "digitalen Pearl Harbour"

2009 war das Cyberkommando (Cyber Command -USCYBERCOM) vom Pentagon als eigenständiges Kommando gegründet worden. Obgleich die Bedeutung des Cyberwar und der netzwerkbasierten Kriegsführung immer betont und der Cyberspace als neues Schlachtfeld neben den traditionellen (Land, See, Luft und Weltraum) gilt, ist Cybercom dem Strategic Command (STRATCOM) untergeordnet und wird vom Direktor des Geheimdienstes NSA geleitet.

CYBERCOM wiederum ist ein Kommando, das als Zentrum die Cybereinheiten der einzelnen Streitkräfte zur Verteidigung und zum Schutz der militärischen Netzwerke oder für Angriffe koordinieren soll. Bis 2018 sollen hier 6.200 Informationssoldaten in 133 Einheiten arbeiten. Das Pentagon hat in Konkurrenz mit der Privatwirtschaft Mühe, geeignete Menschen zu finden, die sich den militärischen Hierarchien und der Disziplin unterwerfen wollen. Das Pentagon strebt eine Partnerschaft zwischen dem Militär und dem Silicon Valley an, greift auf Outsourcing zurück und will auch zeitweise interessierte Menschen beschäftigen.

Nach der vor einem Jahr vorgestellten Cyberstrategie (Pentagon-Strategie für den Cyberwar) besteht die Aufgabe des Cyberkommandos in der Cyber-Unterstützung bei Kampf- und Notfalleinsätzen, was auch Angriffe gegen Netzwerke des Gegners oder die Koordinierung von Cyber- und kinetischen Operationen einschließt. So wurde angekündigt, bei der geplanten Offensive zur Einnahme von Mossul auch Cyberwar-Kapazitäten einzusetzen, wohl also auch mit dem Hintergedanken, sie real auszuprobieren. Die weitere Aufgabe ist die Verteidigung der eigenen Netzwerke und Systeme sowie derjenigen des gesamten Landes und der nationalen Interessen. Zudem soll es die Handlungsfreiheit im Cyberspace sicherstellen und dafür sorgen, dass die Gegner diese nicht haben und möglichst keine Cyberangriffe ausführen können.

Eine der wichtigsten Aufgaben ist daher die Abschreckung, die auch darin besteht, offensive Cyberwaffen zu entwickeln, um Netzwerke des Gegners auszuspähen, lahmzulegen oder zu manipulieren, und mit weiteren militärischen Aktionen zu drohen. Zudem setzt die Cyberstrategie zur Abschreckung darauf, dass das US-Militär bei Cyberangriffen mit den Waffen der Wahl, einschließlich strategischen, zurückschlagen kann. Der Gegner müsse wissen, "dass er inakzeptable Konsequenzen zu erleiden hat, wenn er die USA angreift".

Wie nun ein Bericht des Government Accountability Office (GAO) herausstellt, wurde im Pentagon wie üblich eine neue Abteilung eingerichtet, um Handlungsfähigkeit und Abschreckung im Cyberraum zu demonstrieren, CYBERCOM soll wie das 2004 eingerichtete DNI (Director of National Intelligence) für die Geheimdienste die Zentrale aller Cybereinheiten des Militärs sein, die es zu Dutzenden bei den verschiedenen Streitkräften gibt. Aber ganz vergessen hat man festzulegen, welche Abteilung nach einem größeren Cyberangriff auf die kritische Infrastruktur der USA, der zu einem Notfall führt, zuständig wäre, um gewissermaßen Cyberkatastrophenhilfe für die zivilen Behörden zu leisten, ähnlich wie das Militär die Behörden, z.B. die Federal Emergency Management Agency (FEMA), nach Anfrage bei Überschwemmungen, Wirbelstürmen oder anderen Katastrophen beistehen kann. Also gerade für den Notfall, der immer wieder als große Gefahr für die USA hervorgehoben wurde. In der Cyberstrategie wurde auch wieder diese Gefahr betont: "A disruptive, manipulative, or destructive cyberattack could present a significant risk to U.S. economic and national security if lives are lost, property destroyed, policy objectives harmed, or economic interests affected."

Für die nach einem schweren Cyberangriff möglicherweise erforderliche Unterstützung nationaler Behörden, also für den Defense Support of Civil Authorities (DSCA), ist normalerweise NORTHCOM zuständig, bei der Nationalgarde sind es die jeweiligen Gouverneure, bei einer Epidemie der Assistant Secretary of Defense for Health Affairs. Nach GAO umfasst das Aufgabenspektrum des Northern Command, zuständig für Nordamerika und die Unterstützung ziviler und militärischer Behörden bei der Landesverteidigung, auch Cybervorfälle, allerdings heißt es in Richtlinien, dafür wäre eben das Cyber Command zuständig. Offiziere des Northern Command würden sich bei einem Cybervorfall als zuständig betrachten, Offiziere des Cyber Command sehen wiederum ihr Kommando als zuständig an. Und auch das Pacific Command, zuständig etwa für Alaska und Hawaii, erhebt Ansprüche. Unklar ist in diesem Fall auch, wer das Kommando über Streitkräfte und Nationalgarde haben würde.

GAO hält dem Pentagon vor, dass im Budgetentwurf für das Jahr 2016 das Pentagon beauftragt wurde, einen umfassen Plan für das Cyber Command zu entwickeln, um die Zivilbehörden bei einem Cyberangriff durch eine ausländische Macht zu unterstützen. Dazu würde auch die Beschreibung der Rollen und Verantwortlichkeiten der Streitkräfte geregelt werden müssen. Die Fertigstellung des Plans müsse im Mai 2016 erfolgen. Überdies wurde in der Cyberstrategie vom April 2015 nämliches zur Aufgabe erklärt, inklusive der Durchführung Notfallübungen mit dem Heimatschutzministerium und anderen Behörden, um die Regierung und den privaten Sektor zu verteidigen.

Bislang ist noch kein Cybervorfall eingetreten, für die die Unterstützung des Militärs notwendig geworden wäre. Das Pentagon will nun die Zuständigkeiten regeln. Sollte das Cyber Command, wie zu erwarten, die führende Rolle übernehmen, wäre allerdings auch zu fragen, welche Rolle die NSA dabei spielen würde.