Im Cyberraum verschwimmen die Grenzen
Keine Einigkeit darüber, ob unter welchen Voraussetzungen eine Cyber-Operation als Anwendung von Gewalt oder als bewaffneter Angriff gegen einen Staat zu werten ist
Es sei aber vertretbar, bestimmte Cyber-Operationen als bewaffneten Angriff anzusehen, die sich gegen die Infrastruktur der Landes- und Bündnisverteidigung, gegen die Energieversorgung, das Gesundheitswesen oder lebensnotwendige Versorgungsketten oder die Funktion des Staates richten
Im militärischen Cyber- und Informationsraum verschwimmen nicht nur die Grenzen zwischen innerer und äußerer Sicherheit, sondern auch zwischen Angriff und Verteidigung. Dies wurde in einer öffentlichen Anhörung des Verteidigungsausschusses über die "verfassungs- und völkerrechtlichen Fragen im militärischen Cyber- und Informationsraum unter besonderer Berücksichtigung des Parlamensvorbehaltes, der Zurechenbarkeit von Cyberangriffen sowie einer möglichen Anpassung nationaler und internationaler Normen" deutlich.
Der Rechtswissenschaftler Wolff Heintschel von Heinegg von der Europa-Universität Viadrina in Frankfurt/Oder wies darauf hin, dass international keine Einigkeit darüber bestehe, ob unter welchen Voraussetzungen eine Cyber-Operation als Anwendung von Gewalt oder als bewaffneter Angriff gegen einen Staat zu werten ist. Es sei aber vertretbar, bestimmte Cyber-Operationen als bewaffneten Angriff anzusehen, die sich gegen die Infrastruktur der Landes- und Bündnisverteidigung, gegen die Energieversorgung, das Gesundheitswesen oder lebensnotwendige Versorgungsketten oder die Funktion des Staates richten. Zugleich stelle sich unter Umständen allerdings die Schwierigkeit, einen Cyber-Angriff eindeutig einem Staat zuzuordnen. Handlungen, die die Souveränitätsrechte eines Staates verletzen, seien in jedem Fall nicht mit dem Völkerrecht in Einklang zu bringen. Dies müsse auch klar benannt werden, sagte Heintschel von Heinegg.
Sven Herpig, Leiter Internationale Cybersicherheitspolitik bei der Stiftung Neue Verantwortung, stellte dar, dass Cybersicherheit in Deutschland auf Bundes- und Landesebene in erster Linie in den Händen von zivilen Behörden liegt. So sei das Bundesamt für Sicherheit in der Informationstechnik für den Schutz der Regierungsnetze, die Kooperation mit der Wirtschaft und die Bereitstellung von Informationen für die Gesellschaft zuständig. Hinzu kämen das Bundeskriminalamt, der Verfassungsschutz und der Bundesnachrichtendienst. Für all diese Behörden biete das Nationale Cyber-Abwehrzentrum eine Kooperationsplattform.
Dort seien auch der Militärische Abschirmdienst und das Kommando Cyber- und Informationsraum der Bundeswehr vertreten. In Friedenszeiten sei die Bundeswehr verfassungsrechtlich allerdings in der Praxis hauptsächlich auf den Eigenschutz, also defensive Aktivitäten begrenzt. Die Grenze zwischen defensiven und offensiven Maßnahmen im Cyberraum sei dann überschritten, wenn nicht mehr nur die eigenen Systeme, sondern auch die Systeme anderer Staaten betroffen seien, argumentierte Herpig. Er plädierte dafür, eine schärfere Trennung zwischen Informationsgewinnung und Aufklärung vorzunehmen. Informationsgewinnung liege vor, wenn keinerlei Sicherheitsfunktionen fremder Systeme überwunden werden müssten. Ein solches Vorgehen der Bundeswehr unterliege auch nicht notwendigerweise dem Parlamentsvorbehalt.
Der Informatiker sowie Friedens- und Sicherheitsforscher Thomas Reinhold von der Technischen Universität Darmstadt wies allerdings darauf hin, dass nahezu jede nachrichtendienstliche oder militärische Aktivität gegen oder in IT-System Maßnahmen zur Umgehung von Schutzeinrichtungen oder zum Beseitigen der eigenen digitalen Fußspuren erfordere. Aus der Perspektive der IT-Sicherheit entspreche dies einer Manipulation des betroffenen Systems. Dies gelte auch für Cyber-Operationen zur Informationsgewinnung. Eine rein passive Aufklärung sei aus technischer Sicht somit kaum möglich. Die Wissenschaftlichen Dienste des Bundestages hätten in einem Gutachten von 2018 darauf hingewiesen, dass sich das Verbot Frieden störender Handlungen nach Artikel 26 Grundgesetz auch auf Cyber-Aktivitäten staatlicher Institutionen beziehen kann.
Der Inspekteur des Kommandos Cyber- und Informationsraum der Bundeswehr, Vizeadmiral Thomas Daum, bestätigte, dass für die Bundeswehr der Schutz der eigenen Netze und Systeme in Friedenszeiten prioritär ist. Dies ließe sich vergleichen mit dem Schutz einer Kaserne oder einer anderen militärischen Einrichtung. Allerdings gehöre zum Schutz der eigenen Systeme auch, gegnerische Aktivitäten im Cyberraum frühzeitig aufzuklären. Cybersicherheit ließe sich nur behördenübergreifend gewährleisten. Ein Einsatz der Bundeswehr sei im Inland aber durch das Grundgesetz eingeschränkt. Bei einem Cyber-Angriff auf die zivile Infrastruktur könne die Bundeswehr lediglich im Zuge der Amtshilfe nach Artikel 35 Grundgesetz tätig werden.
Julia Schuetze, Projektmanagerin im Bereich Internationale Cybersicherheitspolitik bei der Stiftung neue Verantwortung, sagte, Deutschland müsse prüfen, inwieweit militärische Maßnahmen im Cyberraum mit seinem sicherheitspolitischen Selbstverständnis in Einklang stehen. Dazu gehöre auch, zu prüfen, ob Cyberoperationen etwa der Vereinigten Staaten innerhalb von deutschen Netzen mit dem eigenen sicherheitspolitischen Interesse zu vereinbaren sind. So habe beispielsweise Japan erklärt, auf aktive Maßnahmen außerhalb der eigenen Netze zu verzichten. Stattdessen setze Japan vor allem auf die 24-Stunden-Überwachung der eigenen Systeme und Netzwerke und nehme international vor allem an Cybersicherheit-Übungen zur Verbesserung der Reaktion auf Angriffe teil. (Deutscher Bundestag: ra)
eingetragen: 16.03.21
Newsletterlauf: 16.06.21