Die Völkerrechtlerin Katharina Ziolkowski wird vom 1. April an in Tallinn als Rechtsexpertin im Cooperative Cyber Defense Center of Excellence (CCDCOE) arbeiten, dem renommierten Cyber-Sicherheit-Think-Tank der Nato-Staaten. Ziolkowski lehrt derzeit an der Führungsakademie der Bundeswehr in Hamburg. 2010 beriet sie die US-Armee beim Centre for Law and Military Operations in Charlottesville. Ihr Buch Praktische Probleme und Rechtsfragen bei Operationen im virtuellen Raum erscheint voraussichtlich 2011.
sueddeutsche.de: Wenn Sie an Krieg denken, welche Bilder kommen Ihnen in den Sinn?
Katharina Ziolkowski: Wenn ich mich an Medienberichten orientieren würde, dann erschiene mir der Krieg heute fast als Alltagsphänomen: Informationskrieg, Zickenkrieg, Wirtschaftskrieg, Meinungskrieg, nun eben auch Cyber-Krieg. Dabei beschreibt der Begriff "Krieg" etwas Schreckliches.
sueddeutsche.de: Was verstehen Sie unter Krieg?
Ziolkowski: Im Völkerrecht ist der Begriff so eng definiert, dass er heute nahezu irrelevant ist: Krieg liegt nur dann vor, wenn ein Staat einem anderen den Krieg erklärt hat. Meines Wissens ist dies zum letzten Mal kurz vor dem Ende des Zweiten Weltkrieges geschehen. Im völkerrechtlichen Sinne gibt es daher keine Kriege mehr. Stattdessen sprechen wir heute von "bewaffneten Konflikten".
sueddeutsche.de: Also kein Cyber-Krieg, sondern "bewaffnete Konflikte" im Netz?
Ziolkowski: Unter Cyber-Krieg werden derzeit drei Phänomene diskutiert, die mit Krieg oder bewaffnetem Konflikt allesamt nichts zu tun haben: Cyber-Kriminalität, Cyber-Spionage und der denkbare, künftige Missbrauch des Internets durch Terroristen.
sueddeutsche.de: Warum sprechen Militärs und Juristen trotzdem von einem Krieg im Netz?
Ziolkowski: Die Beispiele, die ich vorhin genannt habe, zeigen eher, wie die Medien versuchen, mit dem inflationären Gebrauch dieses Begriffs ihre Leser anzusprechen. Politiker sind im Umgang mit dem Begriff zurückhaltend.
sueddeutsche.de: Aber mächtige Staaten wie die USA und China investieren derzeit Millionen in ihre Verteidigung im Netz. Und eine mögliche militärische Auseinandersetzung im Cyberspace wird auch unter Völkerrechtlern diskutiert.
Ziolkowski: In einer fernen Zukunft könnten wir Vorgänge haben, die sich zwar nur im Netz abspielen, aber in der nicht virtuellen Welt so schwerwiegende Folgen auslösen, dass wir von einem bewaffneten Konflikt sprechen könnten. Ich glaube aber, dass wir in den nächsten hundert Jahren davor gefeit sind.
sueddeutsche.de: Was müsste geschehen, damit es soweit wäre?
Ziolkowski: Es müsste eine Situation vorliegen, die vergleichbar ist mit der Situation, die ein Staat durch die Anwendung von konventionellen Waffen herbeiführen könnte. Die Wirkungen der Waffen müssten vergleichbar sein.
sueddeutsche.de: Wenn etwa die Wall Street lahmgelegt wird?
Ziolkowski: Die Börse ist sicherlich eine der kritischen Infrastrukturen der USA - wie Strom- und Wassernetzwerke. Aber wo genau die Schwelle liegen wird, ab der wir von einem bewaffneten Konflikt sprechen, lässt sich kaum bestimmen. Bevor man von einem bewaffneten Konflikt sprechen kann, käme es entscheidend auf die Frage an: Wie viele Bestandteile kritischer Infrastrukturen müssten für wie lange und mit welchen Folgen ausgeschaltet werden?
sueddeutsche.de: Was sagen Sie dazu?
Ziolkowski: Eine Antwort hierauf hat im Moment niemand. Das wird die zukünftige Staatenpraxis zeigen.
sueddeutsche.de: Ende 2010 griffen Wikileaks-Anhänger weltweit zahlreiche Server an und ließen die Webseiten von Mastercard, Visa und Paypal abstürzen. Gleich war von einem Cyber-Krieg die Rede.
Ziolkowski: Das waren kriminelle Aktivitäten von Einzelnen, die in Deutschland grundsätzlich strafbar wären.
sueddeutsche.de: Man könnte sagen: gewaltfreier Protest. Nachdem die Lufthansa-Webseite nach einer Online-Demonstration zusammenbrach, hat das Oberlandesgericht Frankfurt 2006 die Organisatoren von allen strafrechtlichen Vorwürfen freigesprochen. Die Begründung: Wo nur eine Webseite in Unordnung gebracht werde, aber kein Mensch einer körperlichen Zwangswirkung ausgesetzt sei, verbiete es sich, von "Gewalt" zu sprechen.
Ziolkowski: Da ging es um Nötigung und Gewalt. Seit der Änderung des Strafgesetzbuchs im Jahr 2007 sind solche Angriffe als Computersabotage strafbar.
sueddeutsche.de: Warum? Muss es für Demonstrationen im Netz nicht einen rechtlichen Freiheitsraum geben?
Ziolkowski: Es entstehen durch solche Cyber-Attacken ja wirtschaftliche Schäden!
sueddeutsche.de: Bei nicht virtuellen Demonstrationen auch. Die Versammlungsfreiheit schützt im nicht virtuellen Raum auch Sitzblockaden, die eine politische Botschaft verdeutlichen sollen.
Ziolkowski: Genau! Die Versammlungsfreiheit schützt die Versammlung von Menschen, nicht aber synchrone Manipulationen im Netz mit dem Ziel, eine bestimmte Webseite zusammenbrechen zu lassen. Heute benutzen einzelne Kriminelle dazu Botnets, also Netze von Millionen gekaperter PCs ahnungsloser Individuen. Die kann man für kriminelle Zwecke sogar mieten.
sueddeutsche.de: Wo hört Cyber-Kriminalität auf und beginnt jene Cyber-Kriegsführung, für die sich auch die Nato interessiert?
Ziolkowski: Die Nato sieht das Problem der Cyber-Sicherheit als relevant an. Ihre Netzwerke werden ständig angegriffen und wurden auch schon gehackt. Aber diese Angriffe haben noch nie die Schwelle politischer Besorgnis erreicht.
sueddeutsche.de: Könnte man die klassischen Regeln des humanitären Völkerrechts auf künftige Auseinandersetzungen im Cyberspace übertragen?
Ziolkowski: Da gibt es verschiedene Ansichten. Die Haager Landkriegsordnung ist von 1907, die Genfer Konventionen von 1949, ihre zwei ersten Zusatzprotokolle von 1977, alles weit vor der Internet-Ära. Ich gehöre dennoch zu jenen, die meinen, dass die alten Regelwerke genügen und auch auf mögliche zukünftige Konflikte im Cyberspace anwendbar sind. Zumindest wenn wir nach Sinn und Zweck der einzelnen Regelungen fragen. Wann immer das humanitäre Völkerrecht den Schutz von Zivilisten, zivilen Objekten, der Umwelt und manchmal sogar des Gegners gebietet, kann man dies auch im Cyberspace weiter hochhalten.
sueddeutsche.de: Wenn man denn überhaupt sehen könnte, wo die Grenze zwischen Zivilisten und Militärs verläuft! Im Cyberspace ist es sehr einfach, anonym zu agieren.
Ziolkowski: Das ist in erster Linie ein praktisches Problem, kein rechtliches. Gewissheiten über den Ursprung einer Cyber-Attacke wird es selten geben. Das heißt: Wer angegriffen wurde, kann oft nur spekulieren, woher der Angriff kam, meist nach der Devise: Cui bono, wer könnte von einem solchen Angriff profitiert haben?
sueddeutsche.de: Während der Angriffe auf Estland im Sommer 2007 riefen russische Nationalisten über Chats offen zu weiteren Attacken auf. Wenn Zivilisten diesem Aufruf folgen, können sie es dann mit militärischer Abwehr zu tun bekommen?
Ziolkowski: Solange Zivilisten während eines bewaffneten Konflikts unmittelbar an Feindseligkeiten teilnehmen, verlieren sie ihren Schutz, den sie sonst genießen. Das ist eine alte Regel des humanitären Völkerrechts. Übrigens muss ich sagen, dass die Hacker-Angriffe auf Estland die Schwelle eines bewaffneten Konflikts nicht erreichten. So stellen sich solche Fragen konkret noch nicht.
sueddeutsche.de: Ihren Einmarsch in Afghanistan im Jahr 2001 begründeten die USA so: Die Taliban seien zwar nicht für die Angriffe vom 11. September verantwortlich, aber sie hätten den Terroristen einen "sicheren Hafen" geboten. Könnte ein Staat irgendwann für die Aktionen einer Hacker-Gruppe verantwortlich gemacht und infolgedessen militärisch attackiert werden?
Ziolkowski: Ich befürchte, dass die Vertreter der Safe-Haven-Doktrin sie auf den Cyberspace übertragen könnten.
sueddeutsche.de: Hamadoun Touré, der Chef der Internationalen Fernmeldeunion, erregte einst Aufsehen mit dem Satz: Ein Cyberkrieg könnte schlimmer sein als ein Tsunami. Soweit wir sehen, gibt es aber zwei getrennte Strategien, sich hiergegen zu wappnen: Die USA wollen, dass sich die Staaten gegenseitig dabei helfen, private Hacker zu schnappen. Russland schlägt vor, den Einsatz von Cyber-Waffen nach dem Beispiel chemischer Waffen zu ächten. Werden wir irgendwann Rüstungsverträge im Cyberspace haben?
Ziolkowski: Also, darüber habe ich mir nie Gedanken gemacht. Von Russlands Vorschlag habe ich gelesen. Aber ich sehe ein praktisches Problem dabei, Cyber-Waffen generell zu ächten: Denn Hacking-Tools sind nicht per se Waffen, es kommt darauf an, wie man sie benutzt. Manche Tools, die Hacker verwenden, um zum Beispiel einen Account zu knacken, nutzen auch Unternehmen, wenn ein Mitarbeiter sein Passwort vergessen hat. Entsprechend sind in Deutschland nicht alle, sondern nur solche Hacking-Tools verboten, die darauf angelegt sind, illegalen Zwecken zu dienen.
sueddeutsche.de: Gilt das auch für Angriffsmethoden mit Computerprogrammen, wie zum Beispiel Logikbomben?
Ziolkowski: Ja. Die friedliche, legale Nutzung von logischen Bomben ist durchaus denkbar, zum Beispiel bei Computersimulationen in einem Physiklabor.
sueddeutsche.de: Die kriegerische Verwendung von logischen Bomben könnte vielleicht ein relativ geringes Übel darstellen. 1981 zerstörten israelische Kampfflugzeuge den irakischen Reaktor Osirak. Zehn irakische Soldaten und ein französischer Ingenieur starben. Die Stuxnet-Attacke auf Iran führte angeblich zu einem ähnlichen Erfolg, aber diesmal ohne jedes Blutvergießen. Ist das aus Sicht eines Völkerrechtlers nicht etwa eine höchst begrüßenswerte Entwicklung?
Ziolkowski: In der Tat, es ist durchaus denkbar, dass Cyber-Attacken im Einzellfall ein "milderes Mittel" darstellen können. Im Jahr 2007 gab es so einen Fall. Nach Medienberichten haben israelische Streitkräfte kurz vor der Bombardierung eines syrischen Atomreaktors per Hacking die Kontrolle über die Radaranlagen der syrischen Luftwaffenabwehr erlangt und diese für die Dauer des Luftschlags abgeschaltet. Die Alternative wäre gewesen, diese Anlagen zu bombardieren. Das Beispiel zeigt: Cyber-Attacken können im Einzelfall physische Zerstörungen vermeiden und Menschenleben schonen.