Für die Bundesregierung ist bei einer Cyberattacke auch ein Militärschlag eine Option

Ein Konflikt mit Nordkorea, die Verbreitung von Interkontinentalraketen, der islamistische Terrorismus, eine Konfrontation mit China oder Russland: Die Militärstrategen der USA weisen auf viele Gefahren hin. Doch als größtes Risiko für die nationale Sicherheit haben sie Cyberangriffe identifiziert.

Diese Warnung ist längst auch in Deutschland angekommen. Hacker sind in das schwer gesicherte Datennetz der Bundesregierung eingedrungen, Stromversorger wurden infiltriert, Dax-Konzerne angegriffen: Kaum eine Woche vergeht, ohne dass neue Vorfälle gemeldet werden. Oft führen die Spuren nach Russland, China oder Nordkorea. Experten sind sich sicher: Die Cyberbedrohung wird weiter wachsen, die Anstrengungen, sie einzudämmen, werden somit immer dringlicher.

Die Bundesregierung hat das erkannt. Seit Jahren investiert sie in Cybersicherheit. Doch mit reinen Verteidigungsmaßnahmen will Berlin es nicht belassen; Angreifer sollen auch mit einer Vergeltungsdrohung abgeschreckt werden. Die Bundesregierung behält sich vor, mit einem Militärschlag auf einen Cyberangriff zu reagieren.

Das geht aus einer Antwort auf eine Kleine Anfrage des stellvertretenden Vorsitzenden der FDP-Bundestagsfraktion, Stephan Thomae, hervor, die dem Handelsblatt vorliegt. „Auch eine Cyberoperation kann unter bestimmten Bedingungen einen „bewaffneten Angriff“ im Sinne von Artikel 51 VN-Charta darstellen“, schreibt die Regierung darin.

„Hierauf könnte die Bundesrepublik Deutschland mit allen zulässigen militärischen Mitteln reagieren.“ Die Wahl der geeigneten Mittel sei vom jeweiligen Einzelfall abhängig. „Als eine mögliche Option kann auch der Einsatz der Bundeswehr im Rahmen des verfassungsrechtlichen Auftrages in Betracht gezogen werden.“

Das Militär im Kampf gegen den Cyber-Terror

Mit Soldaten gegen Cyberkrieger? Diese Eskalationsbereitschaft trifft bei Experten auf Skepsis. Auch FDP-Politiker Thomae übt Kritik: „Dass die Bundesregierung im Falle eines Cyberangriffs sämtliche militärischen Mittel, konventionell und digital, in Betracht zieht und nicht einmal vor einem Auslandseinsatz der Bundeswehr zurückschreckt, überrascht mich sehr“, sagte er dem Handelsblatt.

Gegenmaßnahmen müssten zwingend den Angreifer treffen. Bei Cyberattacken gebe es aber „weder hundertprozentige Sicherheit darüber, wer den Cyberangriff tatsächlich ausgeführt hat, noch darüber, ob dabei im Auftrag einer Staatsregierung gehandelt wurde“.

Die Nato-Staaten haben auf ihrem Gipfeltreffen 2016 den Cyberraum als militärisches Operationsgebiet definiert: Angriffe über Datennetze behandelt die Militärallianz seither wie Angriffe durch Land-, See- und Luftstreitkräfte. Auch den Bündnisfall können Nato-Staaten nach Cyberattacken ausrufen. Computer zählen demnach ebenfalls zu den „Waffen“.

Der Satz aus der Regierungsantwort: „Hierauf kann die Bundesrepublik Deutschland mit allen zulässigen militärischen Mitteln reagieren“, wird daher in den allermeisten Fällen schlicht Cyberabwehr bedeuten. Seit dem Nato-Gipfel 2016 wurden und werden innerhalb der nationalen Armeen Cybereinheiten aufgebaut.

In Deutschland nahm vor einem Jahr das Kommando „Cyber- und Informationsraum“ (CIR) die Arbeit auf – als zusätzliche Teilstreitkraft zu Heer, Marine und Luftwaffe. „Einsatz der Bundeswehr“ heißt in dieser Logik, dass gegen Angreifer aus dem Netz das Kommando CIR vorgehen wird.

Dass die überstrapazierte Bundeswehr eine Tornadostaffel aufsteigen lässt, um einen Cyberangriff zu vergelten, wäre nur im Extremfall denkbar, etwa wenn Hacker die Stromversorgung oder einen Staudamm sabotieren und es zivile Opfer zu beklagen gibt. „Im Cyberbereich wissen Sie manchmal gar nicht so genau, von wem sie angegriffen werden“, beschreibt Ludwig Leinhos, Inspekteur des Kommandos CIR, das Dilemma.

Und selbst wenn es eindeutige Spuren gibt, meidet es die Bundesregierung häufig, die Verantwortlichen an den Pranger zu stellen. Ein Beispiel: Als Amerikaner, Briten und Dänen zu Jahresbeginn Russland für den „Notpetya“-Cyberangriff auf die Ukraine verantwortlich machten, von dem auch der deutsche Kosmetikhersteller Beiersdorf betroffen war, vermied es Deutschland, sich der Erklärung anzuschließen.

Klare Regeln für mehr Sicherheit

„Die Bundesregierung muss sich fragen lassen, wie sie Cyberangriffe glaubhaft abschrecken will, wenn sie es scheut, Angreifer öffentlich zu benennen und konkrete Beweise vorzulegen“, kritisiert Matthias Schulze von der Stiftung Wissenschaft und Politik.

Um das Risiko einer militärischen Eskalation zu verringern, wünschen sich viele Sicherheitsexperten und Unternehmer klarere internationale Regeln für mehr Cybersicherheit. Eine „Weltorganisation für Cybersicherheit“, ähnlich der WHO für Gesundheit, schlug Telekom-Chef Timotheus Höttges vor. Der US-Konzern Microsoft spricht sich für eine „digitale Genfer Konvention“ aus, um bestimmte Cyberwaffen zu ächten.

Doch die Bundesregierung hält das für überflüssig: „Eine völkerrechtliche Ächtung unterschiedslos wirkender Cyberwirkmittel“ sei schon „international anerkannt und geltendes Recht“, schreibt sie auf eine Frage von FDP-Politiker Thomae.