Nach monatelanger Verzögerung verabschiedete die Bundesregierung am Mittwoch (14. Juni) ihre Nationale Sicherheitsstrategie, in der sie das umstrittene Thema „Hackbacks“, eine Form der aktiven Cyberabwehr, ablehnte.
Die Nationale Sicherheitsstrategie ist der erste derartige Plan, den Deutschland in seiner Nachkriegsgeschichte verabschiedet hat.
Im Sinne der „Integrierten Sicherheit“ sollen die inneren und äußeren Sicherheitsbedrohungen des Landes in einem Gesamtkonzept gebündelt werden. Auch das Thema Cybersicherheit spielt in dem Dokument eine herausragende Rolle.
„Die zentrale Aufgabe des Staates besteht darin, die Sicherheit seiner Bürger zu gewährleisten. „Es geht nicht nur um Verteidigung und Streitkräfte, sondern auch um Cyberabwehr und Resilienz“, sagte Bundeskanzler Olaf Scholz am Mittwoch auf einer Pressekonferenz.
Die Opposition äußerte jedoch heftige Kritik an der neuen Strategie.
„In ihrer Nationalen Sicherheitsstrategie entzieht sich die Regierung den Befugnissen zur Abwehr von Bedrohungen im Cyberspace und flüchtet sich in ein verwaschenes Testmandat“, sagte Reinhard Brandl, digitalpolitischer Sprecher der Mitte-Rechts-Partei CDU/CSU, gegenüber EURACTIV .
„Am Ende der Plan der Ampel [coalition] „Wird zu einer weitgehenden Handlungsunfähigkeit Deutschlands in der Cyberabwehr führen“, fügte Brandl hinzu.
Auch der Digitalwirtschaftsverband Bitkom äußerte sich kritisch zu der Strategie.
„Nicht erst an dieser Stelle wird die mangelnde Einbindung von Experten aus der Zivilwirtschaft deutlich. Dieser Nationalen Sicherheitsstrategie fehlt die Dimension einer Sicherheitspolitik im digitalen Raum“, sagte Bernhard Rohleder, Bitkom-Hauptgeschäftsführer.
Hackback-Debatte
Einer der umstrittensten Punkte der Strategie sind die sogenannten „Hackbacks“, eine Kurzform von „Hacking Back“, also der Praxis, Angreifer durch Eindringen in ihre IT-Systeme zur Rechenschaft zu ziehen. Der Zweck eines Cyber-Gegenangriffs besteht darin, abgegriffene Daten zu löschen oder die Infrastruktur des Gegners lahmzulegen.
Bereits 2021 wurden Hackbacks im Koalitionsvertrag ausgeschlossen. Allerdings hatte sich die Mitte-Links-Bundesinnenministerin Nancy Faeser Anfang des Jahres für die umstrittene Praxis ausgesprochen.
Im Gespräch mit dem deutschen öffentlich-rechtlichen Sender ZDF Nach der Aufdeckung der sogenannten „Vulkan-Akten“, die die Beteiligung des russischen Unternehmens „NTC Vulkan“ an Cyberkriminalität dokumentierten, im März plädierte sie dafür, dass das Bundeskriminalamt Befugnisse erhält, Cyberangriffe aufzudecken und zu stoppen, was auch der Fall war weithin als Befürwortung von Hackbacks interpretiert.
Darüber hinaus plädierte Faeser für eine Änderung des Grundgesetzes des Bundesamtes für Sicherheit (BSI), um es zu „einer zentralen Stelle im Bund-Länder-Verhältnis“ zu machen. Golem gemeldet.
Allerdings sprach sich die liberale Partei FDP gegen die Praxis aus, wodurch sich die Entscheidung des Kabinetts über die Nationale Sicherheitsstrategie um Monate verzögerte. Nun hat sich die Regierung endgültig dagegen entschieden.
„Wir lehnen Hackbacks als Mittel der Cyber-Abwehr grundsätzlich ab“, heißt es in der Strategie zum Thema „aktive Cyber-Abwehr“.
Allerdings bedeutet aktive Cyberverteidigung nicht immer auch Hackbacks. Dazu gehört auch die Möglichkeit, einen schwerwiegenden laufenden Angriff aus dem Ausland auch durch aktive Zugriffe stoppen zu können.
„Aktive Cyberverteidigung ist […] „Unverzichtbar, um die Ursachen zu klären und festzustellen, welche weiteren Opfer es durch den Cyberangriff gegeben hat“, erklärte Brandl gegenüber EURACTIV.
Das IT-Sicherheitsgesetz 2.0 ermöglicht bereits Kompetenzen und Befugnisse im Bereich der aktiven Cyberabwehr. Beispielsweise kann das Bundesamt für Sicherheit in der Informationstechnik (BSI) Telekommunikationsanbieter auffordern, infizierte IT-Systeme von Schadsoftware zu befreien.
Risikopotenzial
Regierungsbeamte lehnen Hackbacks aus mehreren Gründen ab.
Eines der größten Argumente ist, dass IT-Systeme stark miteinander vernetzt sind und ein Cyber-Gegenangriff oft eine unvorhersehbare Kettenreaktion auslösen kann, die die Gefahr birgt, die eigene kritische Infrastruktur lahmzulegen.
Dieses Eskalationspotenzial erschwert zudem die Eingrenzung auf das eigentliche Ziel und erfordert einen erheblichen Zeit- und Rechercheaufwand im Vorfeld.
Hackbacks müssen zudem damit rechnen, einen weiteren Gegenangriff des Angreifers zu riskieren und die erkannte Sicherheitslücke zu schließen.
„In der Debatte um Hackbacks oder sogenannte ‚aktive Cyberabwehr‘ wird oft ein entscheidender Punkt unterschätzt: nämlich, dass entweder Hintertüren in IT-Systeme eingebaut werden oder entdeckte Schwachstellen bewusst verschwiegen werden müssen“, sagt Anke Domscheid-Berg, Abgeordnete der Linkspartei DIE LINKE, sagte EURACTIV.
Als alternative Lösung bietet DIE LINKE daher die Verbesserung der Cybersicherheit auf allen nationalen Ebenen an.
„Viel wichtiger ist es, die IT des Bundes, der Länder und Kommunen endlich wirksam vor Angriffen zu schützen.“ Gerade hier hat Deutschland großen Nachholbedarf bei der oft veralteten IT-Struktur“, sagte Martin Schirdewan, Vorsitzender der Partei DIE LINKE, gegenüber EURACTIV.
[Edited by Luca Bertuzzi/Nathalie Weatherald]
