Cyberwar: Das Netz als Schlachtfeld

Mit dem Computer-Wurm "Stuxnet" ist der Nachweis erbracht, dass Cyberwar nicht länger Science-Fiction ist. Angriffe aus dem Internet können die Infrasturktur eines ganzen Landes gefährden. Auch Deutschland muss sich rüsten.

Es ist zwei Jahrzehnte her, dass Computer-Experten zum ersten Mal vor einem "digitalen Pearl Harbor" gewarnt haben. Gemeint war damit ein massiver Überraschungsangriff auf Computernetze, die für moderne Gesellschaften so überlebenswichtig geworden sind wie Wasser- und Stromleitungen, Straßen oder andere Transportsysteme. Ein solcher Angriff ist bisher zwar ausgeblieben; wie verwundbar die digitalen Lebensadern aber sind, haben die Attacken auf das Internet in Estland 2007 und ein Jahr später in Georgien offengelegt, hinter denen wohl politisch motivierte Hacker aus Russland steckten.

Waren diese Attacken eher noch als digitale Drangsalierung einzustufen, ist mit dem Computer-Wurm Stuxnet der Nachweis erbracht, dass Cyberwar nicht länger Science-Fiction ist. Erstmals ist ein digitaler Angriff bekanntgeworden, der eine großtechnische Anlage sabotieren sollte - vielleicht das umstrittene Atomprogramm in Iran.

Die Nato erwägt, in ihrem neuen strategischen Konzept darauf zu reagieren, dass der virtuelle Raum zum Schlachtfeld geworden ist. Cyber-Attacken könnten künftig möglicherweise den Bündnisfall auslösen. Die US-Streitkräfte haben ein Cyber Command aufgebaut, und auch die Bundeswehr unterhält eine Truppe von Computer-Kriegern. Die Bedrohung wird zumindest beim Militär sehr ernst genommen.

Doch während viele Staaten in aller Stille eilig Experten rekrutieren und sich die Technik zulegen, um für den Krieg der Rechner gerüstet zu sein, sind grundlegende Fragen völlig offen. Zwar ist immer vom digitalen "Krieg" die Rede, doch es ist so unklar wie umstritten, ob sich Cyber-Attacken als "bewaffneter Angriff" werten lassen, der nach der UN-Charta militärische Selbstverteidigung erlaubt oder in der Nato den Bündnisfall auslösen könnte.

Falsche Fährten

Dafür spricht, dass sie die gleiche Zerstörung zu entfalten vermögen. Ein Virus wie Stuxnet ist geeignet, etwa Chemiefabriken oder Pipelines zu zerstören. Durch solch einen Angriff könnten ebenso Menschen sterben, wie wenn dort Marschflugkörper einschlagen. Extremere Szenarien, die ein ganzes Land lahmlegen und Hunderte Menschenleben kosten, sind zumindest theoretisch vorstellbar.

Doch anders als beim Abschuss von Raketen, wäre es extrem schwierig herauszufinden, woher der Angriff kam und wer dafür verantwortlich ist. Hacker in Staatsdiensten können ihre Identität aufwendig verschleiern oder bewusst falsche Fährten legen. Selbst wenn es gelänge, die Attacke in ein Land zurückzuverfolgen, kann sie damit noch nicht automatisch dem Staat zugerechnet werden. Die Angriffe auf Estland und Georgien hat der Kreml wohl geduldet, aber eben nicht selbst ausgeführt. Wann aber ist es gerechtfertigt, ein Geheimdienst-Hauptquartier oder Militäreinrichtungen zu bombardieren, die als Urheber verdächtig sind - oder einen Vergeltungsangriff im Cyberspace zu lancieren?

Von der möglichen Bedrohung aus China oder Russland ist oft die Rede, und auch für militärisch weniger potente Staaten und sogar Terrorgruppen dürften Cyberwaffen als relativ billiges Mittel asymmetrischer Kriegsführung verlockend sein. Doch auch das amerikanische Cyber Command ist genau wie die Cyber-Truppe der Bundeswehr nicht nur mit der Verteidigung militärischer Netze und Einrichtungen betraut. Beide entwickeln Fähigkeiten zur digitalen Kriegsführung, ebenso wie es wohl jeder Geheimdienst tut, der etwas auf sich hält.

Keine eindeutigen Antworten

Unter welchen Umständen man Cyber-Waffen selbst einzusetzen plant, ist aber geheime Verschlusssache. Ist das nur im Zuge einer schon laufenden bewaffneten Auseinandersetzung vorgesehen? Oder ist es legitim, etwa Irans Atomprogramm mit einem Computerwurm zu attackieren, zumal sich dadurch womöglich ein Luftangriff mit all seinen Implikationen vermeiden lässt?

Es gibt keine einfachen und eindeutigen Antworten auf diese Fragen, schon allein weil die Rechtsgrundlagen weitgehend fehlen. Russland hat ein multilaterales Abkommen vorgeschlagen, ähnlich der Konvention zum Verbot chemischer Waffen. Das sollte zumindest ein Ausgangspunkt für eine internationale Debatte sein. Vor allem die USA stehen dem skeptisch gegenüber.

Sie sehen Moskaus Initiative als Versuch, die Überlegenheit der USA zu begrenzen. Die Europäer sollten versuchen zu vermitteln. Sie haben das größte Interesse, dem Cyberwar Schranken zu setzen. Denn während Europa von Informationstechnologie ebenso abhängig ist wie die USA, hat es bislang deutlich weniger dafür getan, sich wirksam vor digitalen Attacken zu schützen.

Gute Vorsorge

In Deutschland wäre dafür nicht nur mehr Geld nötig. Zunächst müssten die verwundbaren Stellen stärker als bisher analysiert werden. Daraus gilt es, eine sinnvolle Aufgabenteilung abzuleiten. Zu klären ist, welchen Teil seiner kritischen Infrastruktur der Staat selbst schützen muss, wo er besser mit privaten Betreibern (etwa von Kraftwerken oder Kommunikationsnetzen) zusammenarbeitet, und wo er nur angemessene Sicherheitsstandards vorschreibt. Gute Vorsorge kann davor bewahren, dass der digitale Verteidigungsfall überhaupt eintritt.