Kipker, Dennis-Kenji

<intR>²Dok

Hackback in Deutschland: Wer, was,wie und warum?Dennis-Kenji Kipker 2019-06-03T20:53:40Ende Mai ergaben Recherchen des Bayerischen Rundfunks, dass dieBundesregierung das schon seit Längerem diskutierte Thema „Hackback“ (oderauch „aktive Cyberabwehr“) nunmehr politisch offensiv angeht: So liegt ein internesKonzeptpapier vor, das den behördlichen Abstimmungsprozess nach einem„erheblichen Cyber-Angriff aus dem Ausland“ beschreibt. Geplant ist dabei wohl,nach einem vierstufigen Raster mit Gegenmaßnahmen unterschiedlicher Intensitätvorzugehen: Die ersten beiden Stufen sollen den schadhaften Datenverkehrlediglich blockieren oder umleiten. Sie stellen noch keinen digitalen Gegenschlagim Sinne des „Hackback“ dar. Anders sieht es auf den folgenden Stufen aus: Aufder dritten Stufe sollen Behörden fremde Netze aktiv infiltrieren dürfen, um Datenzu verändern oder zu löschen. Die vierte Stufe sieht Maßnahmen vor, die nicht nurDaten oder Software, sondern auch Hardware betreffen können. Beispielhaft werdenin dem Bericht das „Eindringen in Systeme“ und das „Herunterfahren“ genannt.Es liegt jedoch nahe, dass sich staatliche Gegenmaßnahmen nicht allein daraufbeschränken müssen.Neue Herausforderungen für die Cyber-Sicherheit –neue Strategien für die Cyber-SicherheitZuvorderst sei festgestellt: Dass in der gegenwärtigen technischen und politischenSituation das Thema „Hackback“ durch die Bundesregierung aufgegriffen wird,ergibt durchaus Sinn, denn die mediale Berichterstattung der vergangenen Jahre hatverdeutlicht, dass Maß und Zahl von Cyber-Angriffen zugenommen haben. Zudemgibt es stetig mehr Akteure, die im digitalen Raum aus den unterschiedlichstenMotiven heraus tätig werden und sowohl Staat als auch Wirtschaft kompromittieren.Die jährlich veröffentlichten Lageberichte des Bundesamtes für Sicherheit in derInformationstechnik (BSI) bestätigen diese Tendenz. Darüber hinaus legt die Cyber-Sicherheitsstrategie der Bundesregierung aus 2016 fest, dass aktiv Maßnahmenzu ergreifen sind, um das Niveau der IT-Sicherheit in Deutschland und Europaganzheitlich zu verbessern. Angefangen mit dem IT-Sicherheitsgesetz aus 2015 undgefolgt vom aktuellen Referentenentwurf des IT-SiG 2.0, wird eine Vielzahl durchaussinnvoller Maßnahmen zur IT-Sicherheit in die Gesetzgebung eingebracht, für die– im Gegensatz zu so mancher staatlicher Überwachungstechnologie – tatsächlichein Bedarf besteht. Die EU geht mit ihrer neuen Cyber-Sicherheitsstrategie aus2017 und dem jüngst vom EP verabschiedeten Cybersecurity Act in eine ähnlicheRichtung ganzheitlicher IT-Sicherheit. Dass innerhalb dieses regulatorischen Milieusauch über „Hackbacks“ gesprochen wird, ist deshalb erst einmal nachvollziehbar.- 1 -Zuständigkeitswirrwarr für Hackbacks?Wie aber können „Hackbacks“ von einer politischen Blaupause in konkrete Pläneund Maßnahmen transferiert werden? Aus dem internen Konzeptpapier, das demBR vorliegt, geht bereits ein zentrales Problem hervor: Wer ist in Deutschland für dieDurchführung der „Hackbacks“ zuständig, welche Behörde besitzt die rechtlichenund technischen Kompetenzen, um hier tätig zu werden? Eine zentrale Rollespielt dabei das bereits existierende Nationale Cyber-Abwehrzentrum (NCAZ),das vereinfacht gesprochen eine Informations- und Kooperationsplattform für alljene Behörden ist, die das Thema Cyber-Sicherheit bearbeiten. Hier kommen dasBSI, das Bundesamt für Verfassungsschutz (BfV), der Militärische Abschirmdienst(MAD), der Bundesnachrichtendienst (BND), das Bundeskriminalamt (BKA),das Zollkriminalamt (ZKA), die Bundespolizei (BPol) und das Bundesamt fürBevölkerungsschutz und Katastrophenhilfe (BBK) zusammen – eine Vielzahlunterschiedlicher Zuständigkeiten an einem Ort, die ein ganzheitliches Lagebild derCyber-Sicherheit erarbeiten sollen. Im NCAZ soll letztlich auch entschieden werden,ob ein „erheblicher Cyber-Angriff aus dem Ausland“ vorliegt, der einen „Hackback“evoziert. Sobald in fachlicher Hinsicht grünes Licht für einen Gegenangriff gegebenwird, soll ein weiteres Gremium, bestehend aus Vertretern des Kanzleramts, des AA,des BMJV, des BMVg und des BMI die Aktion in politischer Hinsicht bestätigen. ImKonzeptpapier heißt es sodann, dass vornehmlich der BND für die Durchführung des„Hackbacks“ geeignet sei, denn er „bewege sich unter anderem in IT-Infrastrukturenim Ausland, sammelt konstant Informationen über Cyberangreifer, deren Vorgehenund Infrastrukturen und wertet diese detailliert aus“. Es soll daneben wohl auchmöglich sein, dass eine Polizeibehörde den „Hackback“ übernimmt, und der BND fürdiesen Fall „zwingend“ einbezogen wird.In rechtlicher Hinsicht ist es aber fraglich, ob die Zuständigkeit zur Durchführungder „Hackbacks“ tatsächlich vorrangig beim BND liegen sollte. Auch dass trotz desTrennungsgebots zwischen Polizei und Nachrichtendiensten beide zusammenwirkensollen, um „Hackbacks“ durchzuführen, erscheint fragwürdig. Der BND hat alsNachrichtendienst gem. § 1 Abs. 2 BNDG vornehmlich die Aufgabe, solcheInformationen, die zur Gewinnung von Erkenntnissen über das Ausland, dievon außen- und sicherheitspolitischer Bedeutung für die BRD sind, zu sammelnund auszuwerten. Diese Aufgabenregelung, auf Fragen der Cyber-Sicherheitangewandt, bedeutet, dass der BND zwar umfassende Informationen überrelevante Daten sammeln, aber nicht selber aktive Cyber-Angriffe durchführendarf, was beim „Hackback“ aber der Fall wäre. Auch ist die Abgrenzung zumTätigkeitsbereich des Verfassungsschutzes für Fragen der Cyber-Sicherheit nichtimmer leicht zu klären. Dessen Aufgaben werden in § 3 BVerfSchG konkretisiert:Nach den Nr. 1 und 2 sammelt und wertet die Behörde solche Informationenaus, die sicherheitsgefährdende oder geheimdienstliche Tätigkeiten gegen dieBRD für eine fremde Macht betreffen, oder solche Bestrebungen umfassen,die gegen die freiheitliche demokratische Grundordnung, den Bestand oder dieSicherheit des Bundes oder eines Landes gerichtet sind oder eine ungesetzlicheBeeinträchtigung der Amtsführung der Verfassungsorgane zum Ziel haben. BeideTatbestände können zwar durch unzulässige Cyber-Interventionen erfüllt sein, ausden Aufgabenzuweisungen ergibt sich aber, dass der Verfassungsschutz eben- 2 -vornehmlich im Inland, und der BND vornehmlich im Ausland tätig wird. Letztlichdürfte aber im Falle (ausländischer) Cyberattacken oft die Situation vorliegen,dass sich in- und ausländische Interessenkreise überschneiden. Auch das BSIund das BKA dürften unabhängig von ihren fachlichen Kompetenzen gegenwärtignicht die richtigen Ansprechpartner sein, wenn es um Hackbacks geht: Das BSI istzumindest zurzeit noch ausschließlich für die Aufrechterhaltung und Förderung deroperativ-technischen IT-Sicherheit und zur Zusammenarbeit mit Staat und Wirtschaftzuständig. Aktiv geführte technische Angriffe, die Einrichtungen im Ausland betreffenund diese im Zweifelsfall kompromittieren oder zerstören sollen, fallen nicht inseine Zuständigkeit. Das BKA ist vornehmlich eine Strafverfolgungsbehörde, diezwar Computerdelikte ermitteln kann und soll, aber nicht selbst Cyber-Angriffe imAusland durchführt. Für die BPol stellen sich ähnliche Probleme, wenn es um dasTätigwerden im Ausland geht. Darüber hinaus dürfte sich bei den verschiedenenanderen Behörden des NCAZ die Frage stellen, ob gleichermaßen auch einetechnische Kompetenz vorliegt, aktive „Hackbacks“ zu realisieren.Ein alter Bekannter: Die BundeswehrDie Besonderheit – und damit die rechtliche Crux – beim Thema „Hackback“ liegtdarin, dass die Zuständigkeitsabgrenzungen mit der grenzüberschreitenden Naturund der Vielzahl von Interessen und Akteuren bei Cyber-Angriffen verschwimmen.Wo befinden wir uns im Bereich der Prävention, wann beginnt die Gefahrenabwehr,was sind die Anforderungen an repressive Handlungen? Und nicht zuletztauch die Frage: Sind „Hackbacks“ in das Ausland überhaupt als klassischenachrichtendienstliche, polizeiliche oder repressive Maßnahmen zu qualifizieren?Einiges spricht dafür, dass dem nicht so ist – womit wir wieder beim altbekanntenThema „Bundeswehr und Cyber-Angriff“ wären. Die Diskussion, die hierzu inden letzten Jahren geführt wurde, ist genauso umfassend wie fruchtlos. Mit dem„Weißbuch zur Sicherheitspolitik und zur Zukunft der Bundeswehr“ wurde 2016eine grundlegende Strategie erarbeitet, wie ein Tätigwerden der Bundeswehr imdigitalen Raum, dem so genannten „Cyber- und Informationsraum“ (CIR), aussehenkönnte. Für den CIR wurde im April 2017 ein eigenes „Kommando Cyber- undInformationsraum“ (KdoCIR) in Dienst gestellt. Innerhalb des KdoCIR existiert seit2018 das Zentrum Cyberoperationen (ZCO), das technische Kapazitäten vorsieht,die auch in der Lage sind, Offensivmaßnahmen im digitalen Raum, also theoretisch„Hackbacks“, durchzuführen. Bei gegebenen technischen Kapazitäten stellt sichfolglich die Frage, unter welchen rechtlichen Voraussetzungen die Bundeswehr hiertätig werden könnte.Und spätestens hier dürfte es wirklich problematisch werden, denn ein Tätigwerdender Bundeswehr im CIR setzt voraus, dass die hohen verfassungsrechtlichenHürden für den Einsatz deutscher Streitkräfte erfüllt sind. Zentral ist hier der Art.87a GG, der vorschreibt, dass die Streitkräfte außer zur Verteidigung nur danneingesetzt werden dürfen, soweit es das Grundgesetz ausdrücklich zulässt.Der Ausnahmevorbehalt ist eng zu lesen und betrifft vornehmlich Situationendes inneren Notstands oder überregionale Unglücksfälle. Der Einsatz derBundeswehr zum „Hackback“ setzt folglich einen Verteidigungsfall voraus,und das bedeutet die Reaktion auf eine militärische Gewaltanwendung, die- 3 -von außen kommt. Dieses Kriterium wird für den im Konzeptpapier skizziertenRegelfall des „Hackback“-Szenarios nicht erfüllt sein. Außerdem dürfte für dieEntscheidung zur Durchführung einer Cyber-Operation der Bundeswehr nicht dasim Konzeptpapier skizzierte politische Entscheidungsgremium befugt sein, sondernallein der Bundestag. Offensivmaßnahmen der Bundeswehr im CIR, die nichtunter das Selbstverteidigungsrecht fallen, sind zudem völkerrechtswidrig, da siedas Gewaltverbot missachten. Nicht umsonst gehen auch die Überlegungen fehl,allgemein einen NATO-Bündnisfall für Cyberattacken anzunehmen, da diese vielfachnicht die Schwelle zu einem bewaffneten Angriff überschreiten.Im Ergebnis ist deshalb festzustellen: Ja, es kann in technischer Hinsicht durchaussinnvoll sein, auch aktive Maßnahmen zur Cyber-Sicherheit zu ergreifen, soweit einegewisse Erheblichkeitsschwelle überschritten ist. Hierzu können auch „Hackbacks“gehören. In rechtlicher Hinsicht kann diese Nützlichkeit aber nicht überspielen,dass „Hackbacks“ keine erheblichen Cyber-Angriffe sein dürfen, die letztlich einermilitärischen Operation gleichkommen. Auch ist fraglich, ob Nachrichtendienstehier die richtigen Akteure sind, da ihre eigentliche Aufgabe in der Sammlung undAuswertung von Informationen besteht. Da es sich bei „Hackbacks“ auch umMaßnahmen handelt, die das operative „Alltagsgeschäft“ der Cyber-Sicherheitbetreffen, sollte das BSI noch stärker als bisher in diese Aufgabe einbezogenwerden, zumal der Entwurf für ein IT-SiG 2.0 bereits eine ähnliche Richtungeinschlägt. Dies betrifft natürlich nur solche Vorgänge, die einen originären Bezugauch zu inländischen Sachverhalten aufweisen.- 4 -

Hackback in Deutschland: Wer, was, wie und warum?

https://intr2dok.vifa-recht.de/servlets/MCRFileNodeServlet/mir_derivate_00007067/Hackback_in_Deutschland_Wer_was_wie_und_warum.pdf

Hackback in Deutschland: Wer, was, wie und warum?

Abstract

Similar works

Full text

Available Versions

<intR>²Dok