Deutscher Bundestag Militärische, völkerrechtliche und rüstungskontrollpolitische Aspekte der Cyber-Sicherheit Ausarbeitung Wissenschaftliche Dienste WD 2 – 3000 – 099/11 Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 2 Militärische, völkerrechtliche und rüstungskontrollpolitische Aspekte der Cyber-Sicherheit Verfasser: Aktenzeichen: WD 2 – 3000 – 099/11 Abschluss der Arbeit: 17. Mai 2011 Fachbereich: WD 2: Auswärtiges, Völkerrecht, wirtschaftliche Zusammenarbeit und Entwicklung, Verteidigung, Menschenrechte und humanitäre Hilfe Telefon: + Ausarbeitungen und andere Informationsangebote der Wissenschaftlichen Dienste geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Der Deutsche Bundestag behält sich die Rechte der Veröffentlichung und Verbreitung vor. Beides bedarf der Zustimmung der Leitung der Abteilung W, Platz der Republik 1, 11011 Berlin. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 3 Inhaltsverzeichnis 1. Einleitung 4 2. Militärische Aspekte 5 2.1. Weltweite Cyber-Aktivitäten 1990 - 2011 5 2.2. NATO 11 2.3. Deutschland 13 3. Aspekte des Völkerrechts 16 4. Aspekte der Rüstungskontrolle 17 5. Zusammenfassung 18 Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 4 1. Einleitung Als „eine existenzielle Frage des 21. Jahrhunderts“ bewertet die „Cyber-Sicherheitsstrategie für Deutschland“ vom Februar 2011 die Verfügbarkeit des Cyber-Raums einschließlich der Integrität , Authentizität und Vertraulichkeit der darin vorhandenen Daten.1 Hochtechnisierte Formen des Krieges im Informationszeitalter basieren „auf einer weitgehenden Computerisierung, Digitalisierung und Vernetzung fast aller militärischen Fähigkeiten.“ Eine Begrenzung der Kriegsführung auf das Gefechtsfeld kriegführender Nationen sei daher „unter Globalisierungsbedingungen eher unwahrscheinlich.“2 Nach Auffassung der Bundesregierung bewerten die USA Cyber- Angriffe als vergleichbare Bedrohung wie z.B. die durch Nuklearwaffen in der Hand von Extremisten oder die durch eine Weiterverbreitung von Massenvernichtungswaffen und nuklearen Stoffen.3 Nach Presseangaben finalisiert derzeit das Pentagon eine neue „Cyber Warfighting Strategy ”. Diese solle ein Rahmenwerk für Ausbildung und Ausrüstung als auch ein Aufruf für ein Mehr an internationaler Kooperation für Cyber-Sicherheit sein.4 Die Völkerrechtlerin Katharina Ziolkowski hält den „Missbrauch des Internets durch Terroristen “ in der Zukunft für möglich. „Statt wie am 11. September 2001 ein Flugzeug zu entführen, könnte man die Kontrollzentrale eines Flughafens übernehmen und durch eine Änderung der Flugkontrolldaten zwei Flugzeuge zusammenstoßen lassen.“5 China hat nach Presseangaben in seinem neuen Weißbuch den Begriff der Landesverteidigung um „Cyberspace“ erweitert.6 Vor diesem Hintergrund beginnt die Ausarbeitung mit öffentlich gewordenen militärischen Cyber -Aktivitäten aus den Jahren 1990 bis 2011 gefolgt von Maßnahmen für Cyber-Sicherheit aus der Sicht der NATO und Deutschlands. Völkerrechtliche und rüstungskontrollpolitische Aspekte gefolgt von einer perspektivischen Zusammenfassung runden das Thema ab. 1 „Cyber-Sicherheitsstrategie für Deutschland“, Internetportal Bundesministerium des Inneren, S. 2 f., Definitionen S. 14 f., URL: http://www.bmi.bund.de/SharedDocs/Downloads/DE/Themen/OED_Verwaltung/Informationsgesellschaft/cyber.pdf ?__blob=publicationFile [17.05.2011]. 2 „Cyber-Sicherheit, Die Sicherheitsstrategie der Bundesregierung“, Konrad-Adenauer-Stiftung, Analysen & Argumente , Ausgabe 89, März 2011, S. 4, URL: http://www.kas.de/wf/doc/kas_22194-544-1-30.pdf?110311134036 [17.05.2011]. 3 „Bericht der Bundesregierung zum Stand der Bemühungen um Rüstungskontrolle, Abrüstung und Nichtverbreitung sowie über die Entwicklung der Streitkräftepotenziale (Jahresabrüstungsbericht 2010)“, 27.01.2011, BT-Drucksache 17/4620, S. 54, URL: http://dip21.bundestag.btg/dip21/btd/17/046/1704620.pdf [17.05.2011] 4 „New Pentagon Cyber Strategy Complete: Official“, 29.03.2011, in: DefenseNews, URL: http://www.defensenews.com/story.php?i=6092878&c=AME&s=TOP [17.05.2011]. 5 „Von Star Trek zu Cyberwar“, 28.04.2011, in: Cicero, URL: http://www.cicero.de/1373.php?ausgabe=05/2011 [17.05.2011]. 6 „Chinas Armee erhebt globalen Anspruch“, 01.04.2011, in: Die Welt, S. 7. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 5 2. Militärische Aspekte 2.1. Weltweite Cyber-Aktivitäten 1990 - 2011 Im nachfolgenden werden öffentlich gewordene militärische Cyber-Aktivitäten aus zwölf Jahren in chronologischer Reihenfolge zusammengestellt, so wie sie sich in Presseartikeln und Foren im Internet finden. Hingewiesen wird ergänzend auf „The Christian Science Monitor“, der eine chronologische Darstellung der Cyber-Spionage und Kriegführung von 1973 bis 2011 aufführt.7 1990: „Schon während des zweiten Golfkriegs 1990 gab es Planungen, eine Radarstation im Süden Iraks zu besetzen und von dort aus mit ‚Logikbomben‘ das irakische Luftabwehrsystem lahmzulegen .“8 „Bei der Operation ‚Desert Storm‘ 1990 nutzten die Amerikaner den Cyberspace zur psychologischen Kriegführung. Militärhacker infiltrierten das interne Kommunikationssystem des irakischen Verteidigungsministeriums und verschicken Tausende E-Mails, in denen Saddams Offiziere vor einem Angriff gewarnt und aufgefordert wurden, sich zu ergeben. Die Rechnung ging auf: Einige irakische Kommandeure schickten ihre Soldaten vor dem Angriff in Urlaub, und zahlreiche Einheiten stellten ihre Panzer außerhalb der Militärbasen auf, sodass die Amerikaner sie leicht bombardieren konnten.“9 1999: „Während des Nato-Luftkrieges gegen Serbien 1999 war es der amerikanischen Luftwaffe durch einen elektronischen Trick gelungen, fiktive Flugzeuge in die Zielcomputer der serbischen Flugabwehr zu schleusen. Die serbischen Militärs verschossen ihre Abwehrraketen auf diese Phantomziele “.10 „Die USA schalteten zudem mit ihren Computern teilweise die Stromversorgung und Kommunikationswege in Serbien aus.“11 7 “Cyberwar timeline”, 07.03.2011, in: The Christian Science Monitor, URL: http://www.csmonitor.com/USA/2011/0307/Cyberwar-timeline [17.05.2011]. 8 „Die @-Bombe“, 26.09.2010, in: Welt am Sonntag, URL: http://www.welt.de/die-welt/wissen/article9876810/Die- Bombe.html [17.05.2011]. 9 Ebenda. 10 „Mit Schirm gegen Terror“, 19.11.2010, in: die Tageszeitung, URL: http://www.taz.de/1/archiv/digitaz/artikel/?ressort=sw&dig=2010%2F11%2F19%2Fa0086&cHash=2c36b8ba0a [17.05.2011]. 11 „Zu Land, zu See, zu Luft und im Cyberspace“, 19.11.2010, in: Frankfurter Rundschau, URL: http://www.fronline .de/politik/zu-land--zu-see--zu-luft-und-im-cyberspace/-/1472596/4850664/-/index.html [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 6 2003: „Was digitale Offensivwaffen angeht, gibt sich das amerikanische Militär allerdings bedeckt, obgleich sie zweifellos existieren. Bekannt ist, dass die USA nach dem 11. September AlQaidas Finanz- und Rekrutierungsnetzwerk mit Viren infiltrierten. Sie konnten den Geldfluss der Terroristen teilweise verfolgen und Überweisungen von Finanziers der Gruppe auf Konten umleiten, die vom amerikanischen Militär kontrolliert wurden. 2003 soll das US-Militär auch ernsthaft überlegt haben, im Irak das komplette Internet lahmzulegen.“12 2006: „Al-Qaida droht US-Finanzbranche mit Hacker-Angriff.“13 2007: „Einen Vorgeschmack auf diese Form der Kriegführung lieferte das israelische Militär bereits vor drei Jahren, beim Angriff auf eine geheime Baustelle in Syrien. Auf den Radarschirmen der syrischen Luftabwehr-Offiziere, die in den Morgenstunden des 6. September 2007 ihren Dienst taten , war kein Flugobjekts zu sehen, kein Warnsignal erklang, nichts: Friedliche Stille über Euphrat und Tigris. Zur selben Zeit verging den Arbeitern auf einer geheimen Baustelle in Ostsyrien Hören und Sehen : Ein Blitz, Explosionen und kreischende israelische Eagle- und Falcon-Militärjets störten die Ruhe. Am Morgen wurde der Schaden des Angriffs deutlich: Die mit nordkoreanischer Hilfe entstehende Kernenergieanlage der Syrer war nur noch eine Ruine. Während die syrischen Militärs sich über das Versagen ihres mehrere Milliarden Dollar teuren russischen Flugabwehrsystems ärgerten, feierte man in Israel den Erfolg einer neuen Art der elektronischen Kriegführung, des Cyberwar. Denn ihren Überraschungscoup verdankten die Israelis nicht etwa Bombern und Raketen, sondern Bits und Bytes. Israelische Militärhacker hatten in den Softwarecode des Netzwerks der syrischen Luftabwehr ‚Logikbomben‘ oder ‚Trojaner‘ genannte Programme eingeschmuggelt. Dank dieser Schadsoftware konnten die Israelis das gegnerische Luftabwehrsystem wie einen Zombie steuern. Während ihre Militärjets ihr Ziel fanden, hatte die syrische Luftabwehr eine friedliche Simulation auf ihrem Radar.“14 „Auch Sicherheitslücken und darauf aufsetzende Angriffsprogramme kaufen die Armeen dieser Erde gern bei gewöhnlichen Computerkriminellen ein. […] Für den im Jahr 2007 von mehr als 3500 PCs ausgeführten Angriff auf die informationstechnische Struktur Estlands sollen angeb- 12 “Das digitale Wettrüsten”, 20.05.2009, in: Süddeutsche Zeitung, URL: http://www.sueddeutsche.de/digital/cyberkrieg -das-digitale-wettruesten-1.451998 [17.05.2011]. 13 Al-Qaida droht US-Finanzbranche mit Hacker-Angriff“, 01.12.2006, in: Der Spiegel, URL: http://www.spiegel.de/wirtschaft/0,1518,451811,00.html [17.05.2011]. 14 „Die @-Bombe“, 26.09.2010, in: Welt am Sonntag, URL: http://www.welt.de/die-welt/wissen/article9876810/Die- Bombe.html [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 7 lich 25 000 Dollar an die privatwirtschaftlich organisierte IT-Tochter des weißrussischen Geheimdienstes KGB in Minsk geflossen sein.“15 „Chinesischen Militärs ist es einem Zeitungsbericht zufolge gelungen, Rechner des US- Verteidigungsministeriums zu infiltrieren. Ein Rechnersystem, das von Minister Gates' Büro genutzt wird, musste abgeschaltet werden. Der Vorfall habe in Verteidigungskreisen Sorge ausgelöst , dass China in ‚entscheidenden Momenten‘ die US-Systeme funktionsunfähig machen könnte .“16 2008: „Als Modellfall künftiger Kriege gilt der Schlagabtausch 2008 zwischen Georgien und Russland um die abtrünnigen Gebiete Südossetien und Abchasien. Auch dort setzten Hacker Regierungsserver schachmatt. Das Besondere: Sie waren mit physischen Angriffen der russischen Armee koordiniert. ‚Die Attacken begannen größtenteils wenige Stunden vor den russischen Militäroperationen , und sie endeten kurz danach‘, stellte der US-Internet-Experte Scott Borg fest. Angriffsprogramme wurden zum Herunterladen über soziale Netzwerke verbreitet, einige Server und Botnetze waren zuvor von russischen kriminellen Organisationen benutzt worden.“17 „Dass selbst das mächtigste Militär der Welt nicht sicher ist, haben jüngst die USA zugeben müssen. Ein Mitarbeiter hatte 2008 auf einem Stützpunkt im Nahen Osten einen verseuchten USB-Stick in einen Rechner gesteckt. Ein bösartiger Code, den ein Agent eines ausländischen Geheimdienstes darauf gespeichert hatte, bahnte sich unbemerkt einen Weg in die Rechner der US Central Command, das für die Kriege in Afghanistan und im Irak zuständige Regionalkommando der US-Streitkräfte. Das Virus spionierte vertrauliche Datenbanken aus und lieferte Informationen ins Ausland. US-Vizeverteidigungsminister William Lynn, der den Vorfall publik machte, bezeichnete ihn als ‚den bislang schwersten Einbruch in Systeme der US-Armee‘.“18 „Das Konzept des Cyberwar gewinnt zunehmend an Bedrohlichkeit, je stärker sich die industrialisierten Länder vernetzen. Im April 2008 drohte eine Qaida-Gruppe mit virtuellen Attacken gegen US-Atomkraftwerke und lieferte in einer Art offenen Brief gleich Belege des dafür nötigen 15 „Militärs suchen Strategien gegen Cyberattacken“, 15.02.2011, in: Frankfurter Allgemeine Zeitung, URL: http://www.faz.net/s/RubF3CE08B362D244869BE7984590CB6AC1/Doc~ED47780DE34374E4BA023E5558A7ECFC7 ~ATpl~Ecommon~Scontent.html [17.05.2011]. 16 „Chinesische Hacker legen Pentagon-Computer lahm“, 04.09.2007, in: Der Spiegel, URL: http://www.spiegel.de/netzwelt/web/0,1518,503678,00.html [17.05.2011]. 17 „Der Feind im Netz“, 15.03.2010, in: Focus, URL: http://www.focus.de/digital/computer/tid-17800/ausland-derfeind -im-netz-teil-2_aid_495306.html [17.05.2011]. 18 „Unsichtbare Angreifer“, 23.09.2010, in: Süddeutsche Zeitung, URL: http://www.sueddeutsche.de/digital/kriegsfuehrung-im-cyberspace-unsichtbare-angriffe-mit-realen-folgen- 1.1003586-2 [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 8 Know-how. Der Angriff fand nie statt, die Echtheit der Drohung ist nicht verifiziert. Die technischen Möglichkeiten aber sind inzwischen unumstritten und werden auch genutzt.“19 2009: „Das Wall Street Journal berichtete im April 2009, Unbekannte seien in die Flugkontrolle der Luftwaffe ‚eingedrungen‘. Die Zeitung berief sich auf Regierungsbeamte. Ein Geheimdienstoffizier warnte davor, dass ein Jagdflieger ‚seinem Radar nicht mehr vertrauen kann‘.“20 „Aber der Feind im Netz schläft nicht, wie die Attacke des Conficker-Wurms bewies, der im Februar 2009 mehrere Hundert Bundeswehr-Computer verseuchte.“21 „Der F-35-Vorfall ist nur das neueste Glied in einer Kette von Cyber-Attacken gegen USA- Infrastruktur und -Rüstungseinrichtungen. Vor knapp zwei Wochen entdeckten Spezialisten in den Netzwerken der amerikanischen Stromnetzbetreiber unbekannte Programme, die möglicherweise dazu in der Lage gewesen wären, die US-Stromnetze abzuschalten. Zudem, so das ‚Wall Street Journal‘, sei das Luftüberwachungsnetz der US Air Force in den vergangenen Monaten Ziel von Internet-Attacken gewesen.“22 „Das US-Militär will sogar ein zweites Internet bauen, National Cyber Range genannt, das als Testgelände für digitale Verteidigungs- und Angriffsmaßnahmen dient. Es wäre das elektronische Pendant zu einer militärischen Sperrzone wie das Bikini Atoll im Pazifik, auf dem die USA in den 1940er und 1950er Jahren Atomwaffen testeten. Mehrere Firmen haben im Januar den Auftrag erhalten, innerhalb von sechs Monaten erste Prototypen eines Testnetzes zu bauen, unter denen das Pentagon eines oder mehrere zur Weiterentwicklung auswählen wird.“23 2010: „ ‚Krieg wird heute mit Computern und Software ebenso geführt wie mit Panzern und Flugzeugen ‘, sagt Hauptmann Christian Czosseck, einer von zwei deutschen Offizieren beim ‚Cooperative Cyber Defence Centre of Excellence‘ (CCDCOE) der NATO in Tallinn. Die Fähigkeit zum computergestützten, vernetzten Waffeneinsatz sei heute ein sehr wichtiges Element militärischer 19 „USA und Russland wollen virtuellen Rüstungswettlauf verhindern“, 14.12.2009, in: Der Spiegel, URL: http://www.spiegel.de/netzwelt/netzpolitik/0,1518,666880,00.html [17.05.2011]. 20 „Der Spion, der aus dem Cyberspace kam“ vom 26.12.2010, in FAZ.NET, URL: http://www.faz.net/s/RubFC06D389EE76479E9E76425072B196C3/Doc~E2CFCE11426824B73A0981CE25C58CAD7~ ATpl~Ecommon~Scontent.html [14.04.2011]. 21 Ebenda. 22 „Hacker knacken geheimes Jet-Projekt“, 21.04.2009, in: Der Spiegel, URL: http://www.spiegel.de/netzwelt/tech/0,1518,620208,00.html [17.05.2011]. 23 “Das digitale Wettrüsten”, 20.05.2009, in: Süddeutsche Zeitung, URL: http://www.sueddeutsche.de/digital/cyberkrieg -das-digitale-wettruesten-1.451998 [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 9 Überlegenheit. Manche Fachleute gehen schon so weit, den ‚Cyberspace‘ als das ‚fünfte Schlachtfeld‘ moderner Kriege zu sehen - nach Boden, Luft, Meer und Weltraum.“24 „So ist es unbekannten Hackern schon gelungen, in die Datenbank des Bundeskanzleramts einzudringen und in E-Mail-Verzeichnisse des Weißen Hauses. Auch das Pentagon wurde ausgeforscht . Im vergangenen Jahr berichtete das ‚Wall Street Journal‘, unbekannte Spione hätten sich Zugang zu den Bauplänen des ‚Joint Strike Fighter‘ verschafft, des mit Tarnkappentechnik ausgestatteten Kampfflugzeugs F-35 ‚Lightning‘, welches die Zeitung als das ‚teuerste und technisch aufwendigste‘ amerikanische Waffensystem beschreibt.“25 „Er verweist aber auf Presseberichte, denen zufolge es islamistischen Aufständischen schon einmal gelungen ist, amerikanische unbemannte Spionageflugzeuge zu beeinflussen. Sie hätten es zwar nicht geschafft, die Drohnen zu lenken, doch hätten sie Videos mitgeschnitten, welche die Drohnen an die amerikanische Bodenkontrolle funkten. ‚Alles, was aus der Ferne gesteuert werden kann, kann auch aus der Ferne missbraucht werden‘, sagt Czosseck.“26 „Am 4. Juli (2010) startete Pjöngjang eine massive Cyber-Attacke auf amerikanische und südkoreanische Webseiten. Unter dem virtuellen Ansturm von mehr als einer Millionen Anfragen pro Sekunde brachen die Webseiten der Landesschutzbehörde und der US-Regierung zusammen. Auch die Server von Transport- und Finanzministerium sowie des US-Geheimdienstes und der New Yorker Börse ließen die nordkoreanischen Hacker zwischen dem 4. und 9. Juli kollabieren. Lediglich das Weiße Haus blieb verschont, da der Internetverkehr rechtzeitig auf andere Server umgeleitet werden konnte.“27 „Aber auch die USA ziehen inzwischen in den virtuellen Krieg. US-Militärs etwa legen mit ihrem Luftangriffssystem ‚Suter‘ gezielt gegnerische Kommunikationssysteme lahm. Über eine Schadsoftware können die Amerikaner beispielsweise irreführende Daten als Phantomziele in feindliche Radarsysteme einspielen oder verfolgen, was der Gegner momentan auf seinem Radarschirm sieht. So kann die US-Luftwaffe kontrollieren, ob ihre Tarnkappen-Bomber ‚Stealth‘ tatsächlich unentdeckt bleiben.“28 „ ‚Das US-Militär wäre ohne das Internet genauso wenig arbeitsfähig wie Amazon.com‘, warnt Clarke“, der nach Presseangaben unter den US-Präsidenten Clinton und George W. Bush für Terrorismusabwehr zuständig und später Sonderberater für Cyber-Sicherheit im Weißen Haus war. „Die Vernetzung der Militärtechnik ist gleichzeitig die größte Achillesferse moderner Hightech- 24 „Der Spion, der aus dem Cyberspace kam“ vom 26.12.2010, ebenda. 25 Ebenda. 26 Ebenda. 27 „Die @-Bombe“, 26.09.2010, in: Welt am Sonntag, URL: http://www.welt.de/die-welt/wissen/article9876810/Die- Bombe.html [17.05.2011]. 28 „Wikileaks ist erst der Anfang“, 07.12.2010, in: Wirtschaftswoche, URL: http://www.wiwo.de/technikwissen /wikileaks-ist-erst-der-anfang-449150/4/ [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 10 Rüstung. Viren und Würmer sind im Kampf David gegen Goliath eine gefährliche Waffe. […] Zwanzig bis dreißig weitere Staaten, darunter Russland, Südkorea, Indien, Pakistan, Frankreich und Israel, haben bereits schlagkräftige Online-Armeen aufgestellt.“29 „Von Anfang an setzten die Chinesen dabei auf einen Angriffskrieg im Cyberspace. Die Autoren einer 1999 erschienenen Strategieschrift des chinesischen Militärs verkünden unverhohlen ‚zhixinxiquan ‘ oder Informationsvorherrschaft als Ziel eines solchen Konflikts: ‚Eine überlegene Streitmacht, die die Informationsvorherrschaft verliert, wird von einer unterlegenen besiegt werden, die diese gewinnt‘."30 „Offensive Mittel des Computerkriegs würden noch nicht intensiv untersucht, weil die Nato- Staaten darüber sehr unterschiedliche Vorstellungen hätten. Und Vergeltungsschläge seien kaum möglich, weil sich die Angreifer verstecken könnten und praktisch nicht zu identifizieren seien .“31 2011: „Der britische Verteidigungsminister Nick Harvey plant sogar, abschreckende Online- Erstschlagkapazitäten aufzubauen. Künftig soll das britische Militär Kontrahenten mittels Cyber- Attacken erledigen können. Umgerechnet rund eine Milliarde Euro will Großbritannien in den nächsten Jahren für die Cyberwar-Vorbereitungen ausgeben.“32 „In response to rising concerns over the vulnerability of national information and communication technology systems, many militaries are developing capabilities for assessing, countering and, presumably, prosecuting operations in cyberspace. But this again is a grey area: the boundaries between civil and military cyberspace are unclear, as is the role that the military should have in this realm. In a developing area with potential national security implications, it is perhaps unsurprising that militaries will seek to explore a potential role.”33 Das Pentagon der USA finalisiert derzeit nach Presseangaben eine neue „Cyber Warfighting Strategy ”. Diese solle ein Rahmenwerk für Ausbildung und Ausrüstung als auch ein Aufruf für ein Mehr an internationaler Kooperation für Cyber-Sicherheit sein. Auch der Leiter des 2009 gegründeten US Cyber Command habe sich schriftlich im März diesen Jahres derart geäußert, dass seine strategische Initiative auf den Austausch von Informationen und eine Stärkung von „kollektiver Cyber-Sicherheit“ zusammen mit Alliierten und internationalen Partnern ziele.34 Nach 29 „Die @-Bombe“, 26.09.2010, in: Welt am Sonntag, ebenda. 30 Ebenda. 31 „Der Spion, der aus dem Cyberspace kam“ vom 26.12.2010, ebenda. 32 „Wikileaks ist erst der Anfang“, 07.12.2010, ebenda. 33 “The Military Balance”, Foreword, 08.03.2011, International Institute for Strategic Studies (IISS), URL: http://www.iiss.org/publications/military-balance/the-military-balance-2011/ [17.05.2011]. 34 „New Pentagon Cyber Strategy Complete: Official“, 29.03.2011, in: DefenseNews, URL: http://www.defensenews.com/story.php?i=6092878&c=AME&s=TOP [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 11 Auffassung der Bundesregierung sehe der „Quadrennial Defense Review“ der USA den weiteren Ausbau der Befähigungen im Cyberspace vor.35 2.2. NATO Das „Strategisches Konzept für die Verteidigung und Sicherheit der Mitglieder der Nordatlantikvertrags -Organisation“ ist am 30. November 2010 in Lissabon mit dem Titel „Aktives Engagement , moderne Verteidigung“ verabschiedet worden. Die 28 Staats- und Regierungschefs der Mitgliedstaaten stellen hierin fest, dass „Angriffe auf Computernetze … eine Schwelle erreichen (könnten), die den Wohlstand, die Sicherheit und die Stabilität von Staaten und des euroatlantischen Raums bedroht.“36 Die Bundesregierung sieht die NATO in ihrer „Cyber-Sicherheitsstrategie für Deutschland“ als „das Fundament transatlantischer Sicherheit“ an. Die Allianz müsse „folgerichtig Cyber- Sicherheit in ihrem gesamten Aufgabenspektrum angemessen berücksichtigen“. Die Bundesregierung befürworte „das Engagement des Bündnisses zugunsten einheitlicher Sicherheitsstandards , die die Mitgliedstaaten freiwillig auch für zivile Kritische Infrastrukturen übernehmen können, wie im neuen strategischen Konzept der NATO vorgesehen“.37 Die NATO könnte bei einem „vernetzten” Ansatz von militärischen und zivilen Anstrengungen auch als ein Organisator von gemeinsamen Anstrengungen im Feld der Cyber-Sicherheit fungieren. Dies würde die wichtige transatlantische Klammer hinsichtlich der Ressourcen schaffen.38 Weiter heißt es: „Wir werden gewährleisten, dass die NATO über das gesamte Spektrum an Fähigkeiten verfügt, die für die Abschreckung und Verteidigung gegen jede Bedrohung der Sicherheit unserer Bevölkerungen notwendig sind. Wir werden daher […] unsere Fähigkeit weiter entwickeln , Angriffe auf Computernetze zu verhindern, zu entdecken, sich dagegen zu verteidigen und sich davon zu erholen, auch indem wir den NATO-Planungsprozess dazu nutzen, nationale Fähigkeiten zur Bekämpfung der Computerkriminalität zu stärken und zu koordinieren, indem wir für alle NATO-Gremien einen zentralen Schutz vor Computerkriminalität gewährleisten und die Überwachungs-, Warn- und Reaktionsaufgaben der NATO im Bereich der Computerkriminalität besser mit denen der Mitgliedstaaten zusammenführen.“39 35 Jahresabrüstungsbericht 2010, 27.01.2011, BT-Drucksache 17/4620, ebenda, S. 55. http://dip21.bundestag.btg/dip21/btd/17/046/1704620.pdf [17.05.2011]. 36 „Strategisches Konzept für die Verteidigung und Sicherheit der Mitglieder der Nordatlantikvertrags-Organisation“, http://www.bundesregierung.de/Content/DE/__Anlagen/2010/2010-11-30-neues-strategischeskonzept ,property=publicationFile.pdf [17.05.2011]. 37 „Cyber-Sicherheitsstrategie für Deutschland“, S 11. 38 „Cyber-Sicherheit, Die Sicherheitsstrategie der Bundesregierung“, ebenda, S. 5. 39 „Strategisches Konzept für die Verteidigung und Sicherheit der Mitglieder der Nordatlantikvertrags-Organisation“, ebenda, Ziffer 19. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 12 Rund 3.000 Mitarbeiter habe die „NATO Communication and Information Systems Agency“ im Hauptquartier der Allianz im belgischen Mons. Dazu gehören 120 IT-Spezialisten, „die sich nur mit der Abwehr von Cyber-Attacken beschäftigen. Das „Cooperative Cyber Defence Centre of Excellence“ im estnischen Tallinn, in dem auch zwei deutsche Offiziere tätig sind, und die „Emerging Security Challenges Division“ beschäftigen sich mit der Grundlagenarbeit und organisieren Übungen und Konferenzen.“ 40 Nachfolgend werden in der Fußnote die auf der NATO-homepage dargestellte Cyber- Verteidigungspolitik und ihre diesbezüglichen Aktivitäten einschließlich der Evolution wiedergegeben .41 40 “Y”, das Magazin der Bundeswehr, 01.03.2011, URL: http://www.ypunkt .de/portal/a/ypunkt/aktuell/forschung_technik?yw_contentURL=/01DB131000000001/W28EJLJG737INFODE/ content.jsp.html [14.04.2011]. 41 “NATO´s Cyber Defence Policy and Activities, Context und Evolution”, 18.03.2011, URL: http://www.nato.int/cps/en/natolive/topics_49193.htm [17.05.2011]. “Though NATO has always been protecting its communication and information systems, the 2002 Prague Summit included this function on the political agenda. Building on the technical achievements put in place since Prague, Allied leaders reiterated the need to protect these information systems at their Summit in Riga in November 2006. A series of major cyber attacks on Estonian public and private institutions in April and May 2007 prompted NATO to take a harder look at its cyber defences. At their meeting in June 2007 Allied Defence Ministers agreed that urgent work was needed in this area. Pursuant to this agreement, NATO conducted a thorough assessment of its approach to cyber defence and reported back to Ministers in October 2007. This report recommended specific roles for the Alliance as well as the implementation of a number of new measures aimed at improving protection against cyber attacks. It also called for the development of a NATO cyber defence policy . Since the cyber attacks against Estonia in 2007, cyber threats have rapidly evolved in frequency and sophistication. In the summer of 2008, the war in Georgia demonstrated that cyber attacks have become a major component of conventional warfare. The development and use of destructive cyber tools that can threaten national and Euro-Atlantic security , represents a strategic shift that has increased the urgency for a new NATO cyber defence policy and a strengthening of defences. Both the new Strategic Concept and the Lisbon Summit Declaration make clear that the rapid evolution and growing sophistication of cyber attacks make the protection of Allies’ information and communications systems an urgent task of NATO on which its future security depends. The 2010 NATO Lisbon Summit in particular has mandated development of a new NATO policy on cyber defence and an action plan by end June 2011 for its implementation. NATO will use also its defence planning processes in order to promote the development of Allies’ cyber defence capabilities , to assist individual Allies upon request, and to optimize information sharing, collaboration and interoperability . Allies will also work to support the development of international norms of behaviour in cyberspace. To address the security risks emanating from cyberspace, NATO will work closely with other actors, such as the UN and the EU.“ Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 13 2.3. Deutschland Nach Auffassung der Bundesregierung solle die „Sicherheit im Cyber-Raum und der Schutz der kritischen Informationsinfrastrukturen […] auf einem hohen Niveau gewährleistet (werden), ohne die Chancen und den Nutzen des Cyber-Raums zu beeinträchtigen.“42 Der Ursprung von Cyber -Gefährdung liege „sowohl im In- als auch im Ausland.“ Häufig könne „bei Angriffen weder auf die Identität noch auf die Hintergründe des Angreifers geschlossen werden. Kriminelle, terroristische und nachrichtendienstliche Akteure nutzen den Cyber-Raum als Feld für ihr Handeln und machen vor Landesgrenzen nicht halt. Auch militärische Operationen können hinter solchen Angriffen stehen.“ Aufgrund der verteilten Verantwortung von Staat, Wirtschaft und Gesellschaft werde „eine Cyber-Sicherheitsstrategie nur dann erfolgreich sein, wenn alle Akteure gemeinsam und partnerschaftlich ihre jeweilige Aufgabe wahrnehmen.“ Gleiches gelte nach Auffassung der Bundesregierung „im internationalen Kontext.“43 Selbstkritisch stellt die Bundesregierung auch fest, dass „ohne internationale Abstimmung von Strategien nationale Maßnahmen allenfalls Teilerfolge erzielen (können)“, da Deutschland „zu wenig Ressourcen (habe).“44 Die Bundesregierung gestalte ihre Cyber-Außenpolitik daher so, „dass deutsche Interessen und Vorstellungen in internationalen Organisationen wie den Vereinten Nationen, der OSZE, dem Europarat, der OECD und der NATO koordiniert und gezielt verfolgt werden.“ Dabei gehe „es auch um die Etablierung eines von möglichst vielen Staaten zu unterzeichnenden Kodex für staatliches Verhalten im Cyber-Raum (Cyber-Kodex), der auch vertrauens- und sicherheitsbildende Maßnahmen umfasst.“ Die Bundesregierung stellt im Weiteren fest, dass noch vor wenigen Jahren so gut wie alle Cyber- Attacken nachweisbar kriminellen Ursprungs waren. Zuletzt häuften sich jedoch Angriffe, „die als Spionage oder Sabotageversuch mit politisch-strategischem Hintergrund deutbar sind.“ Sicherheitspolitisch werde hier Neuland betreten. Wie bei anderen modernen Bedrohungsformen (Terrorismus, Piraterie, asymmetrische Kriege und „failing states“) verliere das Territorialprinzip und damit die Grenzverteidigung ihre Relevanz. Innere und äußere Sicherheit würden verschmelzen und der Angreifer könne nicht mehr identifiziert werden. Nach Auffassung der Bundesregierung und aller Mitgliedstaaten der NATO geschehen „Angriffe auf Computernetze immer häufiger, sind besser organisiert und kostspieliger, was den Schaden angeht, den sie staatlichen Verwaltungen, Unternehmen, Volkswirtschaften und potenziell auch Transport- und Versorgungsnetzen und anderer kritischer Infrastruktur zufügen. (Sie können) eine Schwelle erreichen, die den Wohlstand, die Sicherheit und die Stabilität von Staaten und des euro-atlantischen Raums bedroht.“45 42 „Cyber-Sicherheitsstrategie für Deutschland“, ebenda, S. 3 f. 43 „Cyber-Sicherheitsstrategie für Deutschland“, ebenda, S. 14. 44 „Cyber-Sicherheit, Die Sicherheitsstrategie der Bundesregierung“, ebenda, S. 5. 45 „Strategisches Konzept für die Verteidigung und Sicherheit der Mitglieder der Nordatlantikvertrags-Organisation“, ebenda, Ziffer 12 Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 14 „Cyber-War“ wird in der „Cyber-Sicherheitsstrategie für Deutschland“ im Gegensatz zu zahlreichen anderen in der Fußnote wiedergegebenen Fachbegriffen46 nicht ausdrücklich definiert. Die Bundesregierung hat sich jedoch hierzu geäußert, so u.a., dass im Fall kriegerischer Auseinandersetzungen die elektronische Kampfführung über den virtuellen Raum mit Mitteln der Informationstechnik eine Schlüsselrolle spiele. Die hochtechnisierten Formen des Krieges im Informationszeitalter basierten auf einer weitgehenden Computerisierung, Digitalisierung und Vernetzung fast aller militärischen Fähigkeiten. Eine Begrenzung der Kriegsführung auf das Gefechtsfeld kriegführender Nationen sei „unter Globalisierungsbedingungen eher unwahrscheinlich .“47 Ungeachtet der Tatsache, dass zivile Ansätze und Maßnahmen bei der Cyber- Sicherheitsstrategie im Vordergrund stünden, würden diese „ergänzt durch die Maßnahmen der Bundeswehr zum Schutz ihrer eigenen Handlungsfähigkeit, um auf diese Weise Cyber- Sicherheit als Teil gesamtstaatlicher Sicherheitsvorsorge zu verankern.“48 Die Bundeswehr stellt selbst fest, dass „neue Bedrohung durch Cyber-Attacken, die auch die Bundeswehr direkt treffen können, ein radikales Umdenken – insbesondere der Militärs (erfordert ).“ Traditionelle Konzepte und klassisches militärisches Schutzdenken würden nicht mehr greifen. Das läge zum einen „an der extremen Asymmetrie zwischen Angreifer und potenziellem Schaden“. 2010 hätte das Pentagon 14 Monate gebraucht, um den Wurm agent.btz unschädlich zu machen. Die Rückverfolgungsproblematik würde verstärkt durch die verschiedenen Möglich- 46 „Cyber-Sicherheitsstrategie für Deutschland“, ebenda, S. 14. „Globale Cyber-Sicherheit“ sei „der anzustrebende Zustand der InformationsTechnologie (IT)-Sicherheitslage, in welchem die Risiken des globalen Cyber-Raums auf ein tragbares Maß reduziert sind.“ Der „Cyber-Raum“ sei „der virtuelle Raum aller auf Datenebene vernetzten IT-Systeme im globalen Maßstab.“ „Cyber-Sicherheit in Deutschland“ sei „der anzustrebende Zustand der IT-Sicherheitslage, in welchem die Risiken des deutschen Cyber-Raums auf ein tragbares Maß reduziert sind.“ Diese Cyber-Sicherheit entstehe durch die Summe von geeigneten und angemessenen Maßnahmen. „Militärischer Cyber-Sicherheit“ betrachte hierbei „die Menge der militärisch genutzten IT-Systeme des deutschen Cyber-Raums.“ Ein „Cyber-Angriff“ sei ein „IT-Angriff im Cyber-Raum, der sich gegen einen oder mehrere andere IT-Systeme richtet und zum Ziel hat, die IT-Sicherheit zu brechen.“ „Cyber-Spionage“ seien „Cyber-Angriffe, die sich gegen die Vertraulichkeit eines IT-Systems richten, wenn sie von fremden Nachrichtendiensten ausgehen oder gesteuert werden.“ „Cyber-Sabotage“ seien „Cyber-Angriffe gegen die Integrität und Verfügbarkeit eines IT-Systems.“ „Kritische Infrastruktur“ seien „Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“ Auf Bundesebene gäbe es dazu folgende Sektoreneinteilung: „Energie, Informationstechnik und Telekommunikation, Transport und Verkehr , Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen, Staat und Verwaltung, Medien und Kultur .“ 47 „Cyber-Sicherheit, Die Sicherheitsstrategie der Bundesregierung“, Ebenda, S. 4. 48 „Cyber-Sicherheitsstrategie für Deutschland“, S. 4 f. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 15 keiten der Tarnung von Angriffen. „Das bipolare Denken von Angriff und Verteidigung funktioniert nicht mehr.“49 Das Bundesministerium der Verteidigung setzt für die Cyber-Sicherheit von Streitkräften zwei Institutionen unter seiner Führung ein: das „Bundesamt für Informationsmanagement und Informationstechnik der Bundeswehr“ zur Wahrung der Cyber-Verteidigung. Das Bundesamt realisiert nach eigenen Angaben „Projekte zur Ausstattung und Ausrüstung der Streitkräfte und der Wehrverwaltung mit aufgabengerechten , modernen und wirtschaftlichen IT-Verfahren und IT-Systemen.“ Es sei damit zentraler Dienstleister für die Streitkräfte und die Bundeswehrverwaltung. Dies umfasse „die Konzeption, die Analyse, die Projektierung und die Einführung sowie das Nutzungsmanagement .“ Das Bundesamt schaffe so „die Rahmenbedingungen für ein zeitgemäßes Informationsmanagement in der Bundeswehr“.50 das „Kommando Strategische Aufklärung“51 für das militärische Nachrichtenwesen einschließlich Cyber. Es soll nach Presseberichten 6.000 Soldaten umfassen und „durch Informationsgewinnung entscheidend zur militärischen Lagefeststellung und damit zur nationalen politischen Urteils- und Entscheidungsfähigkeit sowie zum Schutz der Soldatinnen und Soldaten im Einsatz bei (-tragen).“52 In einer jüngst erschienen Publikation der Bundeswehr wird die nationale Vorgehensweise im Falle eines Cyber-Angriffs anschaulich aufgezeigt: Für die Überwachung der eigenen Systeme sei der IT-Sicherheitsbeauftragte der Bundeswehr im IT-Amt zuständig. Sollten eine Dienststelle oder die Systeme im Einsatz Ziel eines Cyber-Angriffs durch Schadsoftware, wie zum Beispiel einen Virus oder Trojaner werden, würden die Sensoren beim „Computer Emergency Response Team“ der Bundeswehr (CERTBw) im IT-Zentrum in Euskirchen bei Bonn Alarm schlagen. Je nach Schwere des Sicherheitsrisikos werde der IT-Sicherheitsbeauftragte der betreffenden Dienststelle informiert und das CERTBw gäbe Gegenmaßnahmen vor. In besonders kritischen Fällen würde umgehend das „Risiko Management Board“ einberufen. Dieses entscheide über alle weiteren Maßnahmen und koordiniere sie. Hierzu zähle auch die Anordnung, „Rechner vom Netz zu nehmen.“53 49 “Y”, das Magazin der Bundeswehr, 01.03.2011, URL: http://www.ypunkt .de/portal/a/ypunkt/aktuell/forschung_technik?yw_contentURL=/01DB131000000001/W28EJLJG737INFODE/ content.jsp.html [14.04.2011]. 50 Das IT-Amt der Bundeswehr, URL: http://www.itamtbw .de/portal/a/itamtbw/!ut/p/c4/04_SB8K8xLLM9MSSzPy8xBz9CP3I5EyrpHK9zJLE3BIgXZqUWhRfql- Q7agIAE5FDe0!/ [17.05.2011]. 51 „Kommando Strategische Aufklärung“, http://www.manfred-bischoff.de/KSA.htm [17.05.2011]. 52 „Die @-Bombe“, 26.09.2010, ebenda. 53 “Y”, das Magazin der Bundeswehr, 01.03.2011, URL: http://www.ypunkt .de/portal/a/ypunkt/aktuell/forschung_technik?yw_contentURL=/01DB131000000001/W28EJLJG737INFODE/ content.jsp.html [14.04.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 16 In den USA kooperiert die Bundeswehr nach Presseangaben mit dem „Cyber Command“, das zur Abwehr von Cyber-Angriffen auf Militärnetze zuständig und in Fort Meade bei der „National Security Agency“ angesiedelt ist. Das Bekenntnis zu „vernetzter Sicherheit” und einem „comprehensive approach” werde sich nach Expertenauffassung gerade im Feld der Cyber Security bewähren müssen.54 Ebenfalls ist die Bundeswehr an dem „NATO Cooperative Cyber Defence Centre of Excellence“ in Tallinn beteiligt.55 3. Aspekte des Völkerrechts Robin Geiss, Völkerrechtler und Mitglied eines internationalen Expertengremiums, das mit Unterstützung der NATO an einem Handbuch zu Cyber-Attacken arbeitet, und der nach Pressangaben von 2007 bis 2010 Rechtsberater für das Internationale Komitee vom Roten Kreuz war, stellt fest: „Ob wir im Hinblick auf den Cyberspace bereits von Kriegen beziehungsweise von bewaffneten Konflikten im Rechtssinne sprechen können, ist mehr als zweifelhaft. Vieles von dem, was heute umgangssprachlich als Cyber-Angriff bezeichnet wird, löst noch lange keinen bewaffneten Konflikt im Sinne des Völkerrechts aus. […] Cyber-Attacken sind für viele Regierungen schon heute alltäglich. Die Informationsstrukturen der Nato werden täglich mehrfach attackiert. Die Frage ist: Ab wann erreichen diese Attacken eine solche Intensität, dass die Nato, wie bei einer militärischen Bedrohung, zum Gegenschlag ausholen darf? Etwa erst dann, wenn es in irgendeinem Kraftwerk kracht und funkt, die Cyber-Attacken sich also physisch auswirken? Oder muss das Völkerrecht nicht sagen: ‚Auch Attacken, die nur virtuell stattfinden, können heute schon dieselbe schreckliche Intensität erreichen‘? […] Aber ich kann mir in der Tat militärische Szenarien vorstellen, wo Cyber-Attacken schonendere Angriffe ermöglichen als konventionelle Waffen . Cyber-Attacken können ja grundsätzlich auch reversibel gestaltet sein. Das heißt: Ich schalte ein Kraftwerk des Gegners aus - aber nur für drei Tage. Danach gehen die Lichter wieder an.“56 Die Völkerrechtlerin Katharina Ziolkowski arbeitet nach Presseangaben vom 1. April 2011 in Tallinn als Rechtsexpertin im „Cooperative Cyber Defense Center of Excellence“, dem renommierten Cyber-Sicherheit-Think-Tank der NATO. Ziolkowski lehrte zuvor an der Führungsakademie der Bundeswehr in Hamburg. 2010 hat sie die US-Armee beim „Centre for Law and Military Operations in Charlottesville” beraten. Ihr Buch „Praktische Probleme und Rechtsfragen bei Operationen im virtuellen Raum“ erscheint voraussichtlich 2011. Ihrer Auffassung nach gilt mit Blick auf Cyber-Sicherheit, dass „wann immer das humanitäre Völkerrecht den Schutz von Zivilisten , zivilen Objekten, der Umwelt und manchmal sogar des Gegners gebietet, kann man dies auch im Cyberspace weiter hochhalten.“ Im Weiteren heißt es in dem Artikel: „Die Haager Landkriegsordnung ist von 1907, die Genfer Konventionen von 1949, ihre zwei ersten Zusatzprotokolle von 1977, alles weit vor der Internet-Ära. Ich gehöre dennoch zu jenen, die meinen, dass 54 Ebenda. 55 Homepage des “NATO Cooperative Cyber Defence Centre of Excellence”, URL: http://www.ccdcoe.org/ [17.05.2011]. 56 „Angriffe sind alltäglich“, 07.03.2011, in: die tageszeitung, URL: http://www.taz.de/1/netz/netzpolitik/artikel/1/angriffe-sind-alltaeglich/ [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 17 die alten Regelwerke genügen und auch auf mögliche zukünftige Konflikte im Cyberspace anwendbar sind. Zumindest wenn wir nach Sinn und Zweck der einzelnen Regelungen fragen.“ Auf die Frage, was Sie unter Krieg versteht, erläutert die Rechtsexpertin, dass der Begriff im Völkerrecht so eng definiert sei, „dass er heute nahezu irrelevant ist: Krieg liegt nur dann vor, wenn ein Staat einem anderen den Krieg erklärt hat. Meines Wissens ist dies zum letzten Mal kurz vor dem Ende des Zweiten Weltkrieges geschehen.“ Im völkerrechtlichen Sinne gäbe es daher keine Kriege mehr. „Stattdessen sprechen wir heute von ‚bewaffneten Konflikten‘.“Unter dem Begriff ‚Cyber-Krieg‘ „werden derzeit drei Phänomene diskutiert, die mit Krieg oder bewaffnetem Konflikt allesamt nichts zu tun haben: Cyber-Kriminalität, Cyber-Spionage und der denkbare, künftige Missbrauch des Internets durch Terroristen.“57 Nach Angaben der Bundeswehr sei „man sich nicht einig, ob ein digitaler Angriff nach internationalem Recht als ‚bewaffnet‘ gewertet werden soll. Auch die Tatsache, dass ein solcher schwer bis gar nicht zurückverfolgt werden kann“, erschwere die Ausübung des Rechts auf individuelle und kollektive Selbstverteidigung. „Wo kein Angreifer, da auch keine Verteidigung“.58 4. Aspekte der Rüstungskontrolle Mit Blick auf das Thema der Rüstungskontrolle und Abrüstung hegt die Bundesregierung Zweifel , ob der sich abzeichnende „Rüstungswettlauf” der Militärs und Nachrichtendienste im Bereich offensiver „Cyber War”-Fähigkeiten nicht doch frühzeitige kollektive Vertragskonstrukte erfordere. Nach den Erfahrungen mit dem Rüstungswettlauf im Nuklearwaffenbereich müsse dies „zumindest intensiv erörtert werden.“59 Ergänzend wird darauf hingewiesen, dass der Generalsekretär der Vereinten Nationen, Ban Ki Moon, nach Presseangaben Anfang 2009 empfohlen hat, „Cyberwaffen künftig in der Liste der Massenvernichtungswaffen zu führen.“60 Nach Auffassung der Bundesregierung setze die USA vor Schaffung rechtlicher und institutioneller Instrumentarien für Cyber-Sicherheit auf internationalen Dialog über Verhaltensnormen und vertrauensbildende Maßnahmen, die wie im humanitären Völkerrecht später kodifiziert werden könnten. Internationale Vertragskonstrukte – z.B. ein „Cyber War Limitation Treaty” nach Vorbild der Rüstungskontrolle im Nuklearwaffenbereich („no first use” etc.) – würden nach Auffassung der USA als zu starr gelten, zu wenig verifizierbar und zu sehr auf staatliches Handeln fokussiert, um gegen asymmetrische Cyber-Bedrohungen effektiv wirken zu können. Lediglich im Bereich der Strafverfolgung sehe man gemeinsame Normen als sinnvoll an. Daher würden sich die USA entschlossen zeigen, „den in den Vereinten Nationen angestoßenen Dialog 57 „Die Netzwerke der NATO werden ständig angegriffen“, 18.02.2011, in: sueddeutsche.de, URL: http://www.sueddeutsche.de/politik/2.220/cyber-sicherheit-die-netzwerke-der-nato-werden-staendig-angegriffen- 1.1061631 [17.05.2011]. 58 “Y”, das Magazin der Bundeswehr, ebenda. 59 „Cyber-Sicherheit, Die Sicherheitsstrategie der Bundesregierung“, Ebenda, S. 5. 60 „Das digitale Wettrüsten“, in: Süddeutsche Zeitung, 20.05.2009. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 18 über Verhaltensnormen und vertrauensbildende Maßnahmen weiter voranzutreiben.“ Ein geeignetes Instrument wäre bei den Vereinten Nationen die Gruppe der Regierungsexperten (Group of Government Experts - GGE). […] Frühwarnsysteme in Form automatischer Sensorennetzwerke und Hotlines zwischen Staaten sollten ausgebaut werden. Deutschland werde „sich mit einer abgestimmten Cyber-Außenpolitik aktiv in diesen Diskussionsprozess einbringen.“61 Ergänzend kündigt die Bundesregierung in ihrem Jahresabrüstungsbericht 2011 an, dass sie „als zunehmend wichtigem Thema auch für vertrauens- und sicherheitsbildende Maßnahmen (VSBM) verstärkte Anstrengungen der internationalen Abstimmung im Bereich IT-Sicherheit“ ansieht. Von daher beteilige sie sich auch in den Vereinten Nationen „aktiv an der VN- Regierungsexpertengruppe zu dem Thema und unterstützte zusammen mit den USA erstmals als Miteinbringer die von Russland eingebrachte Resolution zu internationalen Aspekten der IT- Sicherheit.“62 Als konkrete Aufgabe und Ziel für 2011 habe die Bundesregierung insbesondere: die „Erarbeitung und internationale Abstimmung internationalen Verhaltensregeln zu Cybersecurity “ auf der internationalen Agenda gesetzt.63 Der US-Sicherheitsberater Richard Clark erläutert, dass es in jedem neuen Bereich „erst einmal fünf oder zehn Jahre (braucht), bis (es) erste Vereinbarungen über Waffenkontrolle gibt.“ Das sei so bei strategischen Atomwaffen als auch bei biologischen und chemischen Waffen gewesen.64 5. Zusammenfassung Elf Jahre nachdem erste militärische Cyber-Aktivitäten öffentlich geworden sind, ist das Thema Cyber-Sicherheit auf der politischen Agenda angekommen und dies sowohl national als auch international. Handlungsnotwendigkeit der Staatengemeinschaft für Cyber-Sicherheit wird sichtbar zum einen durch die Erkenntnis, dass „jeder politische, wirtschaftliche oder militärische Konflikt einen Nebenschauplatz im Internet (hat).“65 Und zum anderen auch durch das Bekenntnis der Bundeskanzlerin, Dr. Angela Merkel, dass „die Bedrohung nicht weniger gefährlich als klassische militärische Angriffe (sei).“66 Für Deutschland hat daher ab 1. April 2011 das Nationale Cyber-Abwehrzentrum und der Nationale Cyber-Sicherheitsrat seine Tätigkeit aufgenommen . Die 28 Staats- und Regierungschefs der NATO haben das Thema bereits im November 2010 61 „Cyber-Sicherheit, Die Sicherheitsstrategie der Bundesregierung“, ebenda, S. 5. 62 Jahresabrüstungsbericht 2010, ebenda, S. 6. 63 Ebenda, S. 7 f. 64 „Der Krieg bleibt nicht im virtuellen Raum“, 14.04.2011, in: Stern. 65 „Die Militarisierung des Cyberspace“, 01.12.2010, in Neue Züricher Zeitung, S. 23. 66 “Merkel: Cyberwar so gefährlich wie klassischer Krieg”, 07.02.2011, in: Frankfurter Allgemeine Zeitung, URL: http://www.faz.net/s/RubDDBDABB9457A437BAA85A49C26FB23A0/Doc~EDB330E8D55AE42CFB27B83C8B99853 09~ATpl~Ecommon~Scontent.html [17.05.2011]. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 19 prominent auf die Agenda gesetzt ebenso wie die Kommission der Europäischen Union 2009.67 Da auch die Vereinten Nationen eine globale Kultur für Cyber-Sicherheit seit 1993 fordern, müssten eigentlich die wichtigsten Voraussetzungen für internationale Fortschritte vorliegen. Die Völkerrechtlerin Katharina Ziolkowski hält den „Missbrauch des Internets durch Terroristen “ in der Zukunft für möglich. Ihr plakatives Beispiel lautet, dass „statt wie am 11. September 2001 ein Flugzeug zu entführen, könnte man die Kontrollzentrale eines Flughafens übernehmen und durch eine Änderung der Flugkontrolldaten zwei Flugzeuge zusammenstoßen lassen.“68 Trotz des erkennbaren Willens der Staatengemeinschaft und der Warnungen von Experten zweifeln letztere, dass Erfolge über nationale Maßnahmen hinaus für eine internationale Cyber- Sicherheit in Kürze erreicht werden können: Cyber hat kein Hoheitsabzeichen und daher ist Cyber-Sicherheit keine nationale Domäne und kann auch nicht durch nationale Hoheitsgewalt gewährleistet werden. Ganz im Gegenteil erlaubt es das Selbstverständnis des freien Internet, Einzelpersonen, Organisationen und auch Staaten diese Sicherheit regional oder global in ihrem Sinne temporär oder auf Dauer zu stärken oder zu mindern. Dabei stehen Staaten oftmals asymmetrische Akteure und Kosten gegenüber. Während sich ein einzelner Akteur die Leistungsfähigkeit weltweit verfügbarer privater Computer temporär kostenfrei für seine Absichten „aneignen“ kann, müsste von staatlicher und damit auch militärischer Seite ausschließlich mit eigenen Mitteln entgegengewirkt werden. Solange letzteres wie bisher nicht konzertiert von Staatengruppen erfolgt, könnte sich das Bild von David und Goliath zu Ungunsten von Staaten aufdrängen. Sandro Gaycken, der Technik- und Sicherheitsforscher an der Freien Universität Berlin, sieht für einen „wirksamen Schutz“ bei Cyber-Sicherheit drei Aspekte als Voraussetzung an: 1. Es müssen offensive Kapazitäten aufgebaut werden, „um Angriffe überhaupt im Detail verstehen zu können.“ 2. Der Selbstschutz müsse „radikal“ erhöht werden“ Und 3. Die „Abwehr von Sabotageakten“ müsse verstärkt werden. Der Experte stellt fest, dass hierfür „die zehn Stellen , die jetzt das Cyberabwehrzentrum in Bonn erhält“, sicher nicht ausreichen.69 Verstärkt könnte die Schieflage von Staat zu Akteur auch durch den Tatbestand werden, dass das Völkerrecht Maßnahmen zur Durchsetzung von Cyber-Sicherheit noch nicht adäquat fördert . Auch hier steht die Staatengemeinschaft sichtbar und zögerlich erst am Anfang. Von Bedeutung ist die Definition von zentralen Begrifflichkeiten in der deutschen Cyber- Sicherheitsstrategie und damit auch was militärische Cyber-Sicherheit ausmacht. Voraussetzung für Erfolg ist ihre globale Anerkennung, um sie so zur Grundlage des gemeinsamen Handelns machen zu können. So wäre es durchaus möglich, neben euro-atlantischen Institutionen , wie NATO und Europäische Union, zusätzlich auch asiatische und afrikanische Or- 67 Kommission der Europäischen Gemeinschaften, „Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen über den Schutz kritischer Informationsinfrastrukturen“ vom 30.03.2009, URL: http://eurlex .europa.eu/LexUriServ/LexUriServ.do?uri=COM:2009:0149:FIN:DE:PDF [17.05.2011]. 68 „Von Star Trek zu Cyberwar“, 28.04.2011, in: Cicero. 69 „Politik ist unglaublich schlecht beraten“, 31.03.2011, in: Die Welt, S. 8. Wissenschaftliche Dienste Ausarbeitung WD 2 – 3000 – 099/11 Seite 20 ganisationen in den Abstimmungsprozeß aufnimmt, so z.B. südostasiatische Nationen im Rahmen der ASEAN („Association of Southeast Asian Nations“) und die 53 Staaten der „Afrikanische Union“ einbezogen werden. Die Notwendigkeit hierfür als auch die Herkulesaufgabe an sich wird deutlich an der Tatsache, dass Cyber-Sicherheit stets nur so gut sein kann, wie das schwächste Glied in der globalen Kette. Optionen zur Cyber-Sicherheit hat die Münchner Sicherheitskonferenz Anfang Februar 2011 sowohl auf politischer als auch militärischer Ebene prominent diskutiert. Computerexperten waren sich gemäß Presseangaben einig, „dass es gegen digitale Angriffe nur ein wirksames Mittel der Verteidigung gibt, und zwar die rasche Veröffentlichung aller Sicherheitslücken, sowie sie bekannt werden.“ Die Diskussion in München hätte aber gezeigt, „dass eine internationale Übereinkunft zur Veröffentlichung von Sicherheitslücken, mit der dann die Entwicklung digitaler Angriffswaffen verhindert werden könnte, nicht in Sicht ist.“ Stattdessen scheine den Staaten „ein digitales Wettrüsten mit Cyberwaffen bevorzustehen, das eine gefährliche Dynamik anzunehmen verspricht.“70 Nach Einschätzung von Experten wäre es durchaus möglich: dass sich die Staatengemeinschaft mittelfristig noch auf eine Zeit ohne ein internationales Regelwerk für Cyber-Sicherheit einstellt, da globale Vorstellungen noch zu deutlich divergieren . Nachvollziehbar wäre dies, wenn die Staaten bei gegenwärtigem status quo die Chancen des Cyber für staatliche Interessenswahrung höher einschätzen als die Risiken für eine solche . Wenn dies so ist, wird der von der Bundesregierung geforderte Kodex für staatliches Verhalten im Cyber-Raum (Cyber-Kodex), der auch vertrauens- und sicherheitsbildende Maßnahmen enthalten soll, noch auf sich warten lassen. dass die jetzige Lage es Staaten und Allianzen erleichtert, Erfolgsaussichten klassischer Einsätze von bewaffneten Streitkräften auch künftig durch Cyber-Maßnahmen zu befördern bzw. die anderer zu behindern. Militärische Einsatzplanungen, wie das „Internationale Institut für Strategische Studien“ in seiner jüngsten „Military Balance 2011“ feststellte, könnte somit ein erweitertes Aufgabenspektrum zugeschrieben werden. Die öffentlich gewordenen militärischen Cyber-Aktivitäten seit 1990, die von den USA in Kürze zu erwartende „Cyber Warfighting Strategy“, das in den USA vorgesehene Testgelände für Cyber-Verteidigungs- und Angriffsmaßnahmen und das US-Luftangriffssystem „Suter“ stützen diese Annahme. Die Schwelle zu kinetischen Angriffen könnte somit durch Cyber-Maßnahmen angehoben werden , solche sogar ersetzen oder erst ermöglichen. In allen Fällen würde diese Fähigkeit auch eine Kostenreduzierung von bewaffneten Einsätzen von Streitkräften bedeuten. 70 „Militärs suchen Strategien gegen Cyberattacken“, 15.02.2011, in: Frankfurter Allgemeine Zeitung, URL: http://www.faz.net/s/RubF3CE08B362D244869BE7984590CB6AC1/Doc~ED47780DE34374E4BA023E5558A7ECFC7 ~ATpl~Ecommon~Scontent.html [17.05.2011].