Mitten in der Nacht zerriss in der vergangenen Woche der Heavy-Metal-Song "Thunderstruck" von AC/DC die Ruhe in der iranischen Atomanlage Natans. Wie von Geisterhand waren die Lautsprecher auf die höchste Stufe gedreht worden, klagten iranische Techniker angeblich in internen E-Mails. Es wird dies noch die harmloseste Seite der jüngsten Cyber-Attacke auf das iranische Atomprogramm gewesen sein, aber auch ein Signal der Hacker: Seht, was wir können!
Der Angriff von Stuxnet galt iranischen Atomanlagen
(Foto: AFP)Angriffe dieser Art spielen eine wachsende Rolle. Westliche Armeen, auch die Bundeswehr, arbeiten an ihrer Fähigkeit, mit Würmern und Trojanern Konflikte zu gewinnen. Gelten dafür die Genfer Konventionen - oder überhaupt irgendwelche Regeln? Am Naval War College in Newport an der US-Ostküste diskutierten darüber jüngst Völkerrechtler aus aller Welt. Deutschland war durch Robin Geiß vertreten, der an der Universität Potsdam lehrt.
SZ: Die USA beanspruchen das Recht, Cyber-Attacken künftig mit physischer Gewalt zu beantworten. Zu Recht?
Robin Geiß: Natürlich muss kein Staat es ertragen, wenn er angegriffen wird, auch nicht mit Viren oder Trojanern. In der Charta der Vereinten Nationen steht das naturgegebene Recht der Staaten auf Selbstverteidigung, und das setzt auch nicht voraus, dass man mit derselben technischen Finesse zurückschlägt, mit der man angegriffen worden ist. Entscheidend ist aber immer, dass die Verhältnismäßigkeit gewahrt bleibt.
SZ: Die Verhältnismäßigkeit zwischen einem Virus und einer echten Bombe - liegen da nicht Welten dazwischen?
Geiß: Solange wir nur von Würmern und Trojanern reden, die Geheimnisse ausspähen oder Forschungsprogramme sabotieren: Ja, natürlich. In so einem Fall kommt eine militärische Selbstverteidigung auch nicht infrage.
SZ: Das heißt: Kampfflugzeuge dürfen erst dann zur Vergeltung ausschwärmen, wenn eine Cyber-Attacke wirklich Züge entgleisen und Kraftwerke explodieren lässt, wenn Menschen umgekommen sind?
Geiß: So kann man das sagen, und von diesem Schreckensszenario, das manche schon beschwören und das man dann wirklich als Cyber-Krieg bezeichnen könnte, sind wir zum Glück noch weit entfernt. Eine Cyber-Attacke mit wirklich sichtbaren, auch blutigen Konsequenzen hat es bislang nirgends gegeben.
SZ: Aber mithilfe des Virus Stuxnet ließen die USA im Jahr 2009 plötzlich Hunderte iranischer Zentrifugen durchdrehen. Am Ende gab es Scherben und Risse, also physische Zerstörung.
Geiß: Die Stuxnet-Attacke war vielleicht einschneidend, aber sie war vollkommen unblutig. Natürlich hatten die USA, die ja offenbar die Urheber waren, nicht das Recht dazu, ein Forschungsprogramm eines anderen souveränen Staates zu sabotieren. Insofern war das eine Grenzüberschreitung, und Iran hätte das Recht gehabt zu kontern - allerdings nur mit Gegenmaßnahmen, die ebenso unblutig sind. Das ist wichtig. Soweit ich weiß, hat es daran auch in Iran nie Zweifel gegeben. Von einem Niveau an Gewalt, das sich als kriegerischer Angriff bezeichnen ließe, sind wir bei den heutigen Cyber-Attacken auf Iran noch weit entfernt.
Sicherlich ist es trotzdem gut, wenn wir schon jetzt darüber diskutieren, wie mit heftigeren Angriffen eines Tages umzugehen wäre, und da ist die Position der USA - "Wenn wir uns nicht anders schützen können, antworten wir mit Kampfflugzeugen" - grundsätzlich legitim. Aber die Betonung liegt wirklich auf "eines Tages".