Cyber-Sicherheit Braucht Deutschland eine Cyberarmee?
Angesichts einer dramatisch gestiegenen Bedrohung von Cyberangriffen auf die kritische Infrastruktur nimmt die Diskussion um eine aktive Cyberabwehr an Fahrt auf.
In einer geschlossenen Sitzung im Bundestag hat das Bundesinnenministerium nach SWR-Recherchen den Wunsch nach einer länderübergreifenden Zuständigkeit in der Gefahrenabwehr im Cyberraum geäußert. Es erklärte, es würde auch derzeit Möglichkeiten einer aktiven Verteidigung gegen Cyberangriffe prüfen.
Die Regierungskoalition hatte dies in ihrem Koalitionsvertrag zum Thema "Digitale Bürgerrechte und IT-Sicherheit" ausdrücklich ausgeschlossen. "Hackbacks lehnen wir als Mittel der Cyberabwehr grundsätzlich ab", heißt es dort. Auch der Bundestag hatte in der Vergangenheit der Idee eine Absage erteilt.
Der Wissenschaftliche Dienst stellte 2019 in einem Papier klar, dass bei "solchen digitalen Waffen" kaum klare Grenzen zwischen Angriff und Verteidigung gezogen werden könnten. Die Frage nach der Legitimierung eines solchen Einsatzes sei ebenso ungeklärt wie die Schwelle, ab der er stattfinden dürfe.
NATO: "Preis für Angreifer erhöhen"
Deshalb waren solche Rückschläge auf IT-Ziele im Ausland bislang den Streitkräften vorbehalten, etwa im Rahmen der Cyberabwehr der NATO. Ein Vertreter der NATO bestätigte dem SWR, dass Deutschland bereits im Rahmen seiner Mitgliedschaft der NATO, den USA und anderen Mitgliedern seine Cyberfähigkeiten zur Verfügung gestellt habe. Dies solle ausgeweitet werden.
Auf dem NATO-Sondertreffen am 24. März "haben die Mitgliedsstaaten sich darauf verständigt, ihre Cyberfähigkeiten zu erhöhen", erklärte ein NATO-Sprecher dem SWR. Das Ziel sei, durch gegenseitige Unterstützung, "den Preis für die Angreifer zu erhöhen". Die NATO-Mitglieder hätten klargestellt, dass ein schwerwiegender Cyber-Angriff den Artikel 5 - also den Bündnisfall - auslösen würde. Schwerwiegende und anhaltende Cyberangriffe könnten demnach "unter bestimmten Bedingungen als bewaffneter Angriff gewertet werden." Die NATO würde in diesem Falle mit den angemessenen Mitteln reagieren.
"Erweiterung der eigenen Fähigkeiten erforderlich"
Der Ausbau der Cyberabwehr der Bundeswehr soll auch aus dem geplanten Sondervermögen von 100 Milliarden Euro finanziert werden. Wieviel davon in die Cyberabwehr gehen soll, darum wird offenbar gerade hinter den Kulissen gerungen.
Das Verteidigungsministerium erklärte dem SWR auf Anfrage: "Der Entwurf dieses Wirtschaftsplans wird derzeit erstellt und in das laufende parlamentarische Verfahren eingebracht. Zu dessen Inhalt kann daher zurzeit keine Auskunft erfolgen." Um technisch mit Bedrohungen mithalten zu können, sei auch die Erweiterung des eigenen Fähigkeitsspektrums erforderlich, machte ein Sprecher des Verteidigungsministeriums deutlich.
Cyber-Experten: "Parlamente sind jetzt gefordert"
Stärker als ein großer Cyberangriff beunruhigt Experten ein anderes Szenario: viele kleine Angriffe auf die kritische Infrastruktur, die zunächst nicht als militärischer Angriff gewertet werden. IT-Sicherheitsleute, die aktuell die kritische Infrastruktur gegen zunehmende Cyberangriffe schützen, verwiesen gegenüber dem SWR auf das Dilemma, dass sie nach aktueller Rechtslage kritische Infrastruktur nur mit defensiven Mitteln verteidigen könnten.
Das gelte, auch wenn die Möglichkeit bestünde, aktiv gegen die angreifenden Strukturen vorzugehen, um weiteren Schaden zu reduzieren. So könnten IT-Experten im Rahmen ihrer Tätigkeit für die Bundeswehr oder NATO diese Techniken einsetzen, doch ihnen seien die Hände gebunden.
Der Experte für Cyberverteidigung und Leiter des Digital Society Instituts an der European School of Management and Technology in Berlin, Sandro Gaycken, sagte dem SWR: "Da sind jetzt die Parlamente gefordert, denn das erfordert Gesetzesänderungen. Es ist eine Aufgabe an die Legislative. Sie müssen das politisch entscheiden, ob sie das wollen oder nicht. Bisher fehlte dazu der politische Wille."
Doch dem wird vor allem die SPD eine Absage erteilen: "Die Idee, in russische Systeme einzudringen und diese lahmzulegen, geht in die falsche Richtung. Besser wäre es, die vorhandenen Cyberabwehrmechanismen hochzufahren und die Betreiber kritischer Infrastrukturen zu sensibilisieren", meint der digitalpolitische Sprecher der SPD im Bundestag, Jens Zimmermann, auf Anfrage des SWR.
Sicherheitsexperten sind sich weiterhin uneins in der Bewertung des langfristigen strategischen Erfolgs sogenannter Hackbacks. Aus einem aktuellen, bisher noch unveröffentlichtem Forschungspapier, das dem SWR exklusiv vorliegt, geht hervor, dass die unter US-Präsident Barack Obama eingeführte aktive Cyberabwehrpolitik gescheitert ist. So habe sich etwa 2016 die Terrororganisation "Islamischer Staat" einfach eine neue Cyber-Struktur aufgebaut, nachdem die Amerikaner die alte cybertechnisch zerschlagen hatte.
"Das bloße Ausschalten oder Löschen gegnerischer Angriffssysteme bringt, abseits von kurzfristigen taktischen Effekten, langfristig wenig", erklärt Matthias Schulze, Cybersicherheitsexperte der Stiftung für Wissenschaft und Politik (SWP). Das habe damit zu tun, dass das Kosten-Nutzen-Verhältnis den Angreifer bevorteile: "Man kann mit zahlreichen, sehr niedrigschwelligen Cyber-Angriffen große strategische Gewinne einfahren, ohne eine Aufdeckung oder Strafverfolgung befürchten zu müssen."
Union: Pauschaler Ausschluss von "Hackbacks" war Fehler
Dennoch werden die Stimmen nach einer aktiveren Cyberabwehr lauter. Bei einem schweren Cyber-Angriff müsse der Staat sich verteidigen können, findet der digitalpolitische Sprecher der CDU/CSU-Fraktion, Reinhard Brandl. "Welche Mittel er dazu einsetzen muss, kann erst in der konkreten Lage entschieden werden. Es war deshalb ein Fehler der Ampel "Hackbacks" im Koalitionsvertrag pauschal auszuschließen", kritisiert Brandl die Regierungskoalition.
Um Bewegung in die Diskussion um eine aktive Cyberabwehr und in das Durcheinander der Zuständigkeiten zu bringen, arbeitet die Unionsfraktion an einem Antrag zur Cybersicherheit für das Plenum. Nach Vorstellung des CSU-Bundestagsabgeordneten soll die Bundeswehr mit ihren Fähigkeiten auch bei der Verteidigung der kritischen Infrastruktur eingesetzt werden dürfen. "In Friedenszeiten sollte sie daher unter der Hoheit des Bundesamtes für Sicherheit in der Informationstechnik (BSI) die Bundesverwaltung und Betreiber kritischer Infrastrukturen bei der Abwehr von Angriffen unterstützen und Praxiserfahrung sammeln", fordert Brandl in einem Gespräch mit dem SWR.
Auch wenn solche Ideen voraussichtlich keine Mehrheit bekommen werden, werden sie für reichlich Diskussionsstoff und Wirbel im Bundestag sorgen. Davon ist der innenpolitische Sprecher der FDP im Bundestag, Manuel Hoeferlin, überzeugt: "Statt unterkomplexe Forderungen aufzustellen, wäre es an der Zeit, dass das Parlament sich mit Experten aus dem Cyberraum, Verfassungsrechtlern und zuständigen Institutionen in einem Expertengremium verständigt, wie man Cybersicherheit und damit auch Cyberabwehr rechtssicher und schlagkräftig so aufstellt, dass sie sowohl in Friedens- als auch in Kriegszeiten allen Herausforderungen gewachsen ist."