Im Cyberraum ver­schwim­men die Grenzen zwischen An­griff und Vertei­digung

Im militärischen Cyber- und Informationsraum verschwimmen nicht nur die Grenzen zwischen innerer und äußerer Sicherheit, sondern auch zwischen Angriff und Verteidigung. Dies wurde in einer öffentlichen Anhörung des Verteidigungsausschusses unter Leitung von Wolfgang Hellmich (SPD) am Montag, 15. März 2021, über die „verfassungs- und völkerrechtlichen Fragen im militärischen Cyber- und Informationsraum unter besonderer Berücksichtigung des Parlamensvorbehaltes, der Zurechenbarkeit von Cyberangriffen sowie einer möglichen Anpassung nationaler und internationaler Normen“ deutlich.

„Souveränitätsverletzungen nicht mit Völkerrecht vereinbar“

Der Rechtswissenschaftler Prof. Dr. jur. Wolff Heintschel von Heinegg von der Europa-Universität Viadrina in Frankfurt (Oder) wies darauf hin, dass international keine Einigkeit darüber bestehe, ob unter welchen Voraussetzungen eine Cyber-Operation als Anwendung von Gewalt oder als bewaffneter Angriff gegen einen Staat zu werten ist. Es sei aber vertretbar, bestimmte Cyber-Operationen als bewaffneten Angriff anzusehen, die sich gegen die Infrastruktur der Landes- und Bündnisverteidigung, gegen die Energieversorgung, das Gesundheitswesen oder lebensnotwendige Versorgungsketten oder die Funktion des Staates richten.

Zugleich stelle sich unter Umständen allerdings die Schwierigkeit, einen Cyber-Angriff eindeutig einem Staat zuzuordnen. Handlungen, die die Souveränitätsrechte eines Staates verletzen, seien in jedem Fall nicht mit dem Völkerrecht in Einklang zu bringen. Dies müsse auch klar benannt werden, sagte Heintschel von Heinegg.

„Zwischen Informationsgewinnung und Aufklärung schärfer trennen“

Dr. Sven Herpig, Leiter Internationale Cybersicherheitspolitik bei der Stiftung Neue Verantwortung, stellte dar, dass Cybersicherheit in Deutschland auf Bundes- und Landesebene in erster Linie in den Händen von zivilen Behörden liegt. So sei das Bundesamt für Sicherheit in der Informationstechnik für den Schutz der Regierungsnetze, die Kooperation mit der Wirtschaft und die Bereitstellung von Informationen für die Gesellschaft zuständig. Hinzu kämen das Bundeskriminalamt, der Verfassungsschutz und der Bundesnachrichtendienst. Für all diese Behörden biete das Nationale Cyber-Abwehrzentrum eine Kooperationsplattform. Dort seien auch der Militärische Abschirmdienst und das Kommando Cyber- und Informationsraum der Bundeswehr vertreten.

In Friedenszeiten sei die Bundeswehr verfassungsrechtlich allerdings in der Praxis hauptsächlich auf den Eigenschutz, also defensive Aktivitäten begrenzt. Die Grenze zwischen defensiven und offensiven Maßnahmen im Cyberraum sei dann überschritten, wenn nicht mehr nur die eigenen Systeme, sondern auch die Systeme anderer Staaten betroffen seien, argumentierte Herpig. Er plädierte dafür, eine schärfere Trennung zwischen Informationsgewinnung und Aufklärung vorzunehmen. Informationsgewinnung liege vor, wenn keinerlei Sicherheitsfunktionen fremder Systeme überwunden werden müssten. Ein solches Vorgehen der Bundeswehr unterliege auch nicht notwendigerweise dem Parlamentsvorbehalt.

„Rein passive Aufklärung ist technisch kaum möglich“

Der Informatiker sowie Friedens- und Sicherheitsforscher Thomas Reinhold von der Technischen Universität Darmstadt wies allerdings darauf hin, dass nahezu jede nachrichtendienstliche oder militärische Aktivität gegen ein oder in einem IT-System Maßnahmen zur Umgehung von Schutzeinrichtungen oder zum Beseitigen der eigenen digitalen Fußspuren erfordere. Aus der Perspektive der IT-Sicherheit entspreche dies einer Manipulation des betroffenen Systems.

Dies gelte auch für Cyber-Operationen zur Informationsgewinnung. Eine rein passive Aufklärung sei aus technischer Sicht somit kaum möglich. Die Wissenschaftlichen Dienste des Bundestages hätten in einem Gutachten von 2018 darauf hingewiesen, dass sich das Verbot friedensstörender Handlungen nach Artikel 26 des Grundgesetzes auch auf Cyber-Aktivitäten staatlicher Institutionen beziehen kann.

„Gegnerische Aktivitäten im Cyberraum frühzeitig aufklären“

Der Inspekteur des Kommandos Cyber- und Informationsraum der Bundeswehr, Vizeadmiral Dr. Thomas Daum, bestätigte, dass für die Bundeswehr der Schutz der eigenen Netze und Systeme in Friedenszeiten prioritär ist. Dies ließe sich vergleichen mit dem Schutz einer Kaserne oder einer anderen militärischen Einrichtung. Allerdings gehöre zum Schutz der eigenen Systeme auch, gegnerische Aktivitäten im Cyberraum frühzeitig aufzuklären.

Cybersicherheit ließe sich nur behördenübergreifend gewährleisten. Ein Einsatz der Bundeswehr sei im Inland aber durch das Grundgesetz eingeschränkt. Bei einem Cyber-Angriff auf die zivile Infrastruktur könne die Bundeswehr lediglich im Zuge der Amtshilfe nach Artikel 35 des Grundgesetzes tätig werden.

„Japan setzt auf 24-Stunden-Überwachung der eigenen Systeme“

Julia Schuetze, Projektmanagerin im Bereich Internationale Cybersicherheitspolitik bei der Stiftung neue Verantwortung, sagte, Deutschland müsse prüfen, inwieweit militärische Maßnahmen im Cyberraum mit seinem sicherheitspolitischen Selbstverständnis in Einklang stehen. Dazu gehöre auch zu prüfen, ob Cyberoperationen etwa der Vereinigten Staaten innerhalb von deutschen Netzen mit dem eigenen sicherheitspolitischen Interesse zu vereinbaren sind.

So habe beispielsweise Japan erklärt, auf aktive Maßnahmen außerhalb der eigenen Netze zu verzichten. Stattdessen setze Japan vor allem auf die 24-Stunden-Überwachung der eigenen Systeme und Netzwerke und nehme international vor allem an Cybersicherheit-Übungen zur Verbesserung der Reaktion auf Angriffe teil. (aw/15.03.2021)

Zeit: Montag, 15. März 2021, 13 Uhr bis 17 Uhr
Ort: Berlin, Marie-Elisabeth-Lüders-Haus, Sitzungssaal Anhörungssaal 3.101