Politik: Der Feind in meinem Computer

Berlin - Es ist ein sechsseitiges Papier, das es in sich hat: Das Schreiben des Ministeriums zur Unterrichtung der Mitglieder des Verteidigungsausschusses, das voraussichtlich in der kommenden Woche eben dort debattiert wird, enthält viel Bekanntes, aber auch eine Botschaft, die manchen irritiert. Die Bundeswehr ist nicht nur mit der Abwehr gegnerischer Attacken im Internet befasst. Sie bereitet sich seit Jahren auch darauf vor, selbst anzugreifen. Inzwischen ist sie zu solchen Attacken auch in der Lage: „Eine Anfangsbefähigung zum Wirken in gegnerischen Netzwerken wurde erreicht“, heißt es in dem Bericht mit der Überschrift „Cyber-Warfare“. Zu Übungszwecken würden „Simulationen in einer abgeschlossenen Laborumgebung“ durchgeführt.

Dabei ist allen Beteiligten klar, dass die Unterscheidung zwischen defensiv und offensiv, zwischen der Fähigkeit sich zu verteidigen und der Fähigkeit anzugreifen, im Virtuellen noch schwieriger ist als ohnehin schon. Politisch nicht ganz ohne ist allerdings der Umstand, dass die Bundesregierung in ihrer Antwort auf eine Anfrage der Linkspartei im Oktober 2010 erklärte: „Weder wird innerhalb der Bundeswehr Schadsoftware entwickelt noch wurde und wird von der Bundeswehr Schadsoftware gegen Ziele im Ausland angewendet.“ Es darf als fraglich gelten, ob es zum Wirken in gegnerischen Netzwerken nicht genau eine solche Schadsoftware braucht.

WAS VERTEIDIGUNGSPOLITIKER SAGEN

Der Grünen-Politiker Omid Nouripour will vor allem zweierlei wissen: Welche Fähigkeiten wurden in der Vergangenheit und welche werden für die Zukunft angestrebt? Und wie ist die Bundeswehr auf die Idee gekommen, eine Abteilung Cyberattacke aufzubauen: „Welches Bedrohungsszenario hat sie dazu verleitet?“, fragt Nouripour im Gespräch mit dem Tagesspiegel. SPD-Wehrexperte Rainer Arnold warnt vor einer rechtlichen Grauzone, wenn die Bundeswehr „strukturell ähnlich wie die Nachrichtendienste arbeitet, aber nicht ähnlich wie die Nachrichtendienste kontrolliert wird“. Arnold fordert Transparenz und politische Kontrolle: „Selbstverständlich muss die Bundeswehr in der Lage sein, ihre eigenen Systeme zu schützen und im Rahmen von Konflikten auch gegnerische Systeme anzugreifen – aber genauso selbstverständlich gilt auch in diesem Fall der Parlamentsvorbehalt: Alle Aktionen dürfen nur im Rahmen eines bestehenden Mandats stattfinden“, ansonsten habe jeder Angriff als „grob rechtswidrig“ zu gelten, sagt Arnold mit Verweis auf das Grundgesetz. Auch der CDU/CSU-Obmann im Ausschuss, Ernst-Reinhard Beck, meinte, es könnten für das Parlament möglicherweise „ähnliche Mitwirkungskriterien gelten wie für andere Einsätze“.

WIE RELEVANT DAS PROBLEM IST

Der Cyberspace gilt inzwischen nach Land, Luft, See und Weltraum als fünfter potenzieller Kriegsschauplatz. Die lebenswichtige Infrastruktur moderner Staaten hängt in immer größerem Maße von Online-Netzwerken ab. Würden sie lahmgelegt, könnte das gesamte öffentliche Leben zum Stillstand kommen. Betroffen wären das Transportwesen, die Versorgung mit Elektrizität, Wasser und Gas, das zivile und militärische Kommunikationssystem, der Eisenbahn- und Flugverkehr. Chemiewerke könnten explodieren, Satelliten würden aus ihrer Umlaufbahn trudeln, Börsen und Banken müssten schließen. Das GPS-System fiele aus, Navigationssysteme erblindeten. An die 150 Staaten arbeiten deshalb inzwischen an Schutzprogrammen. Das Pentagon gibt jährlich eine halbe Milliarde Dollar dafür aus, das neue US Cyber Command zählt 10 000 Mitarbeiter.

WAS DIE NATO MACHT

Seit dem Gipfel von Bukarest 2008 steht „Cyber Defence“ amtlich auch auf der Agenda des Bündnisses. Im Nato-Hauptquartier Shape bei Brüssel ist inzwischen eine Abwehrabteilung aufgebaut, die zum Jahresende auf 180 Mann anwachsen soll. Dann sollen auch mobile Einsatzteams voll einsatzbereit sein, die Nato-Staaten anfordern können, um Cyberangriffen zu trotzen.

Der Auftrag der Hacker in Allianz-Uniform ist allerdings bisher rein defensiv. Ihr Alltag besteht darin, Spione, Spamer und Kriminelle daran zu hindern, in die Rechnernetze der Nato einzudringen – ein Alltag, der sich nicht von dem der IT-Abteilungen großer Firmen unterscheidet. Langfristig wichtiger ist die Aufgabe, die Einsatz-Software vor unerbetenen Eindringlingen zu schützen. Auch der konventionelle Krieg ist immer mehr von Computern, Satellitenkommunikation und GPS-Systemen abhängig. Bisher wurde allerdings noch kein Versuch von Hackern beobachtet, sich etwa in die Kommandosysteme des Afghanistan-Einsatzes einzuschleichen.

Technisch wäre es für die Cyberkrieger kein Problem, Netz-Kriege auch aktiv zu führen – wer einen Hackerangriff abwehren will, muss dafür schließlich wissen, wie man ihn führt. Aber die Nato-Hacker dürfen nicht. Denn in der Allianz gibt es bisher keinerlei Konsens über eine strategische Doktrin für den Cyberkrieg. Er scheitert schon an der Frage, was als „Angriff“ zu gelten hätte – und wie man einen Angreifer hinreichend sicher identifiziert. Denn nur dann ließen sich die Beistandsverpflichtungen des Nato-Vertrags sinngemäß auch auf Cyberkriege anwenden. Erst ganz am Anfang sind auch die Diskussionen darüber, ob und wann ein Cyberangriff einen konventionellen Gegenschlag rechtfertigt.

BEISPIELE FÜR CYBERKRIEGE

Den ersten Internet-Angriff der Geschichte gab es im Frühjahr 2007, das Ziel des Angriffs war die baltische Republik Estland. In einem dreiwöchigen Cyberkrieg wurden die Rechner des Landes von einer Datenflut überschwemmt, die das Finanzwesen an den Rand des Zusammenbruchs brachte. Ein Jahr darauf traf es Georgien, wo Computer der Regierung und der Medien abstürzten.

Aktuell ist, was zwischen Israel und dem Iran passiert, wohl als Cyberkrieg zu bezeichnen. In der ersten Schlacht dieses Konflikts, den Israel und die USA nach allgemeiner Auffassung über Jahre hinweg akribisch vorbereitet haben, ließ der Computerwurm Stuxnet die Zentrifugen in der iranischen Atomanreicherungsanlage Natans außer Kontrolle geraten, führte im Akw Buscher zu technischen Pannen und brachte die Atomkonversionsanlage in Isfahan zum Stillstand. Antivirus-Experten vermuten, dass auch hinter dem Computervirus Flame staatliche Auftraggeber stecken, der jüngst gezielt im Iran und dem Nahen Osten in Umlauf gebracht wurde.

FRAGEN, DIE NACH WIE VOR UNBEANTWORTET SIND

Wann ist ein Angriff ein Krieg? Will sagen: Wie lassen sich Hacker und Anonymous-Aktivisten abgrenzen von Spionageversuchen zum Auskundschaften von Geschäftsgeheimnissen der Privatwirtschaft und diese wiederum von solchen zum Auskundschaften von Amtsgeheimnissen staatlicher Behörden? Wie reagiert man auf einen Cyberangriff? Wie kann man erkennen, woher ein Angriff kommt? Wie will man Vergeltung üben, wenn die Adresse des Absenders nicht zu ergründen ist? Und was heißt das für das Konzept der Abschreckung?