Ein Angriff aus Nullen und Einsen – Über den Cyberspace als Kriegsschauplatz von heute

bei

 / 4. January. 2022

Myriam Dunn Cavelty im Gespräch


 

Myriam Dunn Cavelty ist Dozentin für Security Studies und stellvertretende Leiterin des Center for Security Studies (CSS) der ETH Zürich. Sie studierte Internationale Beziehungen, Geschichte und Internationales Recht an der Universität Zürich. 2007 war sie Visiting Fellow am Watson Institute for International Studies (Brown University) und 2010–2011 Fellow der stiftung neue verantwortung in Berlin. Sie publiziert regelmäßig in internationalen Fachzeitschriften und ist Autorin und Herausgeberin mehrerer Bücher zu Themen rund um Sicherheit im Informationszeitalter. Neben ihrer Forschungs-, Lehr- und Publikationstätigkeit berät sie Regierungen, internationale Institutionen und Unternehmen in den Bereichen Cybersecurity, Cyberwar, Schutz kritischer Infrastrukturen, Risikoanalyse und strategische Früherkennung.


 

Die zunehmende Digitalisierung unserer Informationssysteme ist ein Paradies für böswillige Machenschaften, weil es das ideale Terrain bietet, um selbst staatsinterne Prozesse auszukundschaften oder gar lahmzulegen. Was also vermehrt in die Diskussion kommt, ist die Frage um unsere digitale Sicherheit. Blickt man auf den Spezialfall eines militärischen Konflikts zwischen zwei Staaten, so ist das World Wide Web und alles, was mit ihm zusammenhängt, längst zum entscheidenden Operator in der Kriegsführung geworden. Der Sammelbegriff „Cyberwar“ umschreibt die Machenschaften des „digitalen“ Kriegführens. Myriam Dunn Cavelty, Dozentin für Security Studies und stellvertretende Leiterin des Center for Security Studies (CSS) der ETH Zürich, beschäftigt sich ausgiebig mit dem Thema und wagt die pessimistische Voraussicht: Einen absolut sicheren digitalen Raum wird es nicht geben. 

„Cyberwar“, also zu Deutsch „Cyberkrieg“, ist ein verhältnismäßig junges Wort. Es taucht zum ersten Mal 1993 bei den Wissenschaftlern John Arquilla und David Ronfeldt auf. Was ist aus Ihrer Sicht der erste historisch datierbare Krieg, der als „Cyberwar“ gelten kann?

Die Frage kann man nur beantworten, wenn man den Begriff klar definiert: Für eine differenziertere Sicht ist es hilfreich, zwei Arten des Cyberkriegs zu unterscheiden, nicht zuletzt, weil der „Krieg“ eine sehr spezifische und relativ seltene Form der Gewaltanwendung ist.

Zum einen gibt es den strategischen Cyberkrieg. Er bezeichnet eine Form der Kriegführung zwischen Staaten, bei denen ein Cyberangriff aus dem Nichts kritische Infrastrukturen lahmlegt oder zerstört, mit sehr gravierenden Konsequenzen. Die Form der politischen Auseinandersetzung würde fast ausschließlich digital stattfinden. Diese Art des „Kriegs“, die wir aus gewissen Hollywoodfilmen kennen, wurde vor allem in den Anfängen der Debatte häufig dazu verwendet, um schwarzmalerische Zukunftsszenarien an die Wand zu malen, in denen die technologisierte Gesellschaft als dem Untergang geweiht dargestellt wird, wenn nicht sofort Maßnahmen im sicherheitspolitischen Bereich ergriffen. Diese Art des Cyberkriegs gab es noch nie – und wird es ziemlich sicher nie geben.

Die zweite Form ist der operationelle Cyberkrieg. Diese Form ist „unterstützend“, d.h. anderen Formen der kriegerischen Auseinandersetzung untergeordnet. Sie ist im Gegensatz zu der eben besprochenen Form längst Realität: Jede politische Auseinandersetzung hat heutzutage eine Cyberkomponente. Schon im Kosovokonflikt 1998 gab es ausgehend vom US-Militär Konzepte, wie der Informationsraum strategisch und politisch eingesetzt werden sollte, damals meisten unter dem Schlagwort „Information Operations“.  

Gäbe es heutzutage wieder Krieg zwischen Industrienationen, wäre dieser Krieg nicht immer ein operationeller Cyberwar? Heißt das, dass potenziell jeder Krieg von nun an auch teils ein Cyberwar sein wird?

So ist es. Je stärker computerisiert und digitalisiert die Streitkräfte und die Gesellschaft sind, desto mehr „Cyber“-elemente finden sie in einer Auseinandersetzung. Dabei sind viele der zugrundeliegenden Konzepte „alt“ – denken Sie z.B. an die Elektronische Kriegführung oder was in der Militärstrategie „Enthauptungsschlag“ genannt wird, also ein Angriff auf die politischen und militärischen Führungsstrukturen eines Gegners. Die Ziele sind die gleichen, nur die Mittel haben sich verändert. Ganz wichtig ist aber, dass es nicht möglich ist, einen Krieg durch Cybermittel zu gewinnen. Nicht nur weiß man aus Erfahrung, dass es kaum möglich ist, die Effekte so zu kontrollieren, dass sich Cybermittel für strategische, gezielte Einsätze à la „Bomben“ eignen, auch ist es längst klar, dass sich kein Staatsterritorium durch Cybermittel kontrollieren lässt. Cyberoperationen werden daher immer nur ein begleitendes Phänomen sein. 

Welche Methoden der Kriegsführung kann dann ein von Ihnen beschriebener Cyberwar umfassen?

Ich denke, nun sollten wir uns um die Frage kümmern, wofür sich Cybermittel denn am besten eigenen, wenn nicht für Einsätze im klassisch militärischen Sinn. Seit rund zehn Jahren sieht man, dass staatliche Akteure Cyberkapazitäten aufbauen, im offensiven und im defensiven Bereich. Häufig werden dafür Organisationseinheiten geschaffen, die als „Cyber-Kommandos“ bezeichnet werden. Diese Einheiten bereiten sich auf Kriege im Cyberspace vor, wobei der Schutz der eigenen militärischen Netzwerke oftmals im Zentrum steht.

Um aber die sicherheitspolitischen Entwicklungen und digitale Vorfälle der letzten Jahre einordnen zu können, müssen wir den Fokus darauf richten, wie Staaten unter der Kriegsschwelle, im hybriden, „grauen“ Bereich, operieren – dafür ist nicht das Militär, sondern der Nachrichtendienst zuständig. Militärische Auseinandersetzungen sind u.a. durch das Völkerrecht stark reglementiert. Nachrichtendienste hingegen nutzen den Cyberspace im Namen der Informationsbeschaffung seit Jahren ohne klare Regeln. Dieses andauernde „Austesten“ von roten Linien hat Lucas Kello treffend als „Un-peace“ (also Nicht-Frieden) bezeichnet.

Beschreiben Sie ein Szenario konkreter: In unserem Gedankenspiel wird ein führender Industriestaat durch einen Cyberangriff belagert. Wie könnte dieser aussehen? Ab wann könnte ein Staat kollabieren? Wie schlägt der virtuelle Angriff um auf die tatsächlichen, materialen Infrastrukturen eines Staats?

Schauen wir uns die Realität an: Staatliche Akteure dringen hauptsächlich in die Netzwerke anderer Staaten ein, um geheime und strategisch wertvolle Daten zu stehlen. Normalerweise vergehen zwischen dem ersten Eindringen in ein Netzwerk und der Entdeckung des „Angriffs“ viele Monate. Das liegt in der Natur der Sache. Das Hacken eines Netzwerks läuft nicht ab, wie wir es in Hollywoodfilmen kennen: Knopfdruck, Code rast über einen Bildschirm, ein physischer Effekt wird erzielt. Häufig weiß der Angreifer nicht, ob er im gehackten Netzwerk überhaupt interessante Daten findet oder auch, was er sonst noch anrichten könnte. Kleinere Sabotageakte, für die z.B. „Stuxnet“ berühmt ist (eine Malware, durch die Zentrifugen in einer iranischen Atomanlage verbogen wurden), sind möglich. Gleichzeitig eintausend wichtige Ziele lahmzulegen ist nicht möglich – bzw. wäre der Aufwand bei gleichzeitig großen Unsicherheiten viel zu hoch. 

Immer wieder hört man Nachrichten von Hacker-Attacken, die beispielsweise demokratische Verfahren wie Wahlen gefährden können. Was ist auf staatspolitischer Ebene schon getan worden, um das zu vermeiden? Was muss noch getan werden?

Aus Sicht der Wissenschaft sind die Kausalitäten bei „Disinformationskampagnen“ bisher nicht geklärt. Es scheint so, als ob sie die Meinungen von Menschen nicht zu ändern vermögen, sondern vielmehr „nur“ bestätigen und ggf. verstärken. Wir sollten also eher nach Innen auf unsere eigene Gesellschaft und nicht nach außen, auf einen „Feind“ schauen. Es zeichnet sich nämlich ab, dass die unliebsamen, destabilisierenden Effekte vor allem über den eigenen politischen Diskurs und die Medien generiert werden. Überreaktionen in der Politik sind deshalb absolut zu vermeiden! Sehr gefährlich ist z.B. die Idee, dass die Definition von Wahrheit in einer Demokratie staatlich gesteuert werden kann. Die Medien sollten generell versuchen, Hacker-Attacken nicht aufzubauschen und im richtigen Kontext darzustellen. Und ganz generell sollten wir uns als Gesellschaft überlegen, was wir digitalisieren wollen und was nicht. Die Digitalisierung bringt sehr viele Vorteile, aber auch Nachteile. In Zukunft müssen wir vermehr Risikoabschätzungen vornehmen. 

Durch die Virtualität eines Cyberwars ist seine Undurchschaubarkeit begründet. Ganz früher war es noch so, dass die Kriegserklärung den Beginn eines Krieges markiert hat. Wie ist das in Zeiten von Cyberwar-Bedrohungen? Wann beginnt eigentlich ein Cyberwar? Wann endet er?

In Zeiten des „Un-Peace“ im Cyberraum sind wir ständig im „Krieg“ – oder eben nicht, wie ich finde. Es gibt keinen Anfang und kein Ende, Cyber-operationen oder Cyber-kampagnen sind ständige Begleiterscheinungen staatliches Mit- und Gegeneinander. 

Nach außen sieht es so aus, als seien Regierungen „gut gerüstet“ gegen mögliche Gefahren aus dem Internet. Wie schätzen Sie aktuell beispielsweise die sicherheitspolitische Lage der deutschen Bundesregierung ein? Gibt es auch hier Vorreiternationen in der Welt?

Die meisten Staaten sind nicht sonderlich gut gerüstet, aber das liegt in der Natur der Dinge: es gilt, dass über 90% aller Netzwerke und kritische Infrastrukturen von privaten Firmen verwaltet werden. Der Staat hat die Aufgabe, seine eigenen Netzwerke zu schützen (was er nicht immer gut macht). Die Netzwerke Privater hingegen kann er nicht schützen: Weder gibt es dafür gesetzliche Grundlagen noch hat er die Leute dazu.

Wie viele andere Staaten widmet sich die deutsche Bundesregierung dem Aufbau von Kapazitäten und vor allem der Konsolidierung von Rollen und Verantwortlichkeiten intern und mit Partnern in der Wirtschaft und der Gesellschaft. In einer Vorreiterrolle sieht man z.B. Estland und Israel, aber nicht aus den gleichen Gründen. In Estland ist es die sogenannte „Estonian Defence League“ oder „Kaitseliit“ im Cyberbereich, ein militärischer Freiwilligenverband, der schnell mobilisiert werden könnte. In Israel die „Start-Up“ Politik, bei der nachrichtendienstlich geschulten Bürgern die Etablierung einer Firma im Cybersicherheitsbereich vereinfacht wird. 

Cyber-Security ist ein Thema, das nicht nur das Großunternehmen betreffen kann, sondern auch auf individueller Ebene großen Schaden anrichten kann. Man denke an das Risiko des gehackten Passworts für Online-Banking oder andere sensible Daten. Wie bewerten Sie die Auswirkungen eines Cyber-Wars? Wird er von Nationen geführt, von Unternehmen oder gar von Individuen?

Hier sind wir nun im kriminellen Bereich angekommen! Kriminell motivierte Vorfälle haben nichts mit Krieg zu tun, sind aber sehr häufig und generieren hohe Kosten. Generell gilt: Kriminelle haben sich professionalisiert, und die Cyberkriminalität wird weiter zunehmen, denn die Risiken sind im Vergleich zu der herkömmlichen Kriminalität einiges kleiner, während der „Grundschutz“ bei viel zu vielen Firmen und Einzelpersonen sehr tief bleibt. Im kriminellen Bereich finden wir Einzeltäter, lose Gruppen und organisierte Kriminalität. Nordkorea sagt man als einzigem Staat nach, dass er cyberkriminelle Mittel nutzt, um zu Geld zu kommen. 

Was sind Ihre aktuellen Forschungsfragen? Hat die Corona-Pandemie und die damit im Zusammenhang stehende Verlagerung ins Digitale eine Zuspitzung der Thematik Cyberwar evoziert?

Die Corona-Pandemie hat nichts verändert an der strategisch-politischen Wichtigkeit des Cyberraums, aber viele Beobachtungen bestätigt. Zum Beispiel ist noch klarer geworden, wie wichtig es ist, technische Aspekte von Cybersicherheit mit sozio-politischen zu verknüpfen. Denn nur so können wir erklären, warum die Nutzung von digitalen Technologien unterschiedliche politische Reaktionen auslöst. Was in unserer Forschung vermehrt ins Zentrum rückt, ist die Rolle von spezialisierten Cybersicherheitsfirmen im politischen Bereich.

Was ist Ihre Vision eines absolut Internet-sicheren Lebens? Wie könnte das aussehen?

Ich muss Sie leider enttäuschen, das wird es nie geben! Digitale Technologien werden nie sicher werden. Erwarten wir den nächsten Cybervorfall – wir können ihn nicht verhindern. Aber wir können uns darauf vorbereiten und uns fragen, wie wir ihn optimal bewältigen können.


Interview geführt durch:

Hannes Mittermaier , geboren 1994 in Sterzing/Italien, seit 2013 in München lebend, schloss 2019 sein Master-Studium an der Ludwig-Maximilians-Universität in München in den Fächern Germanistik und Philosophie ab. Seit 2020 promoviert Mittermaier an der germanistischen Fakultät zu einer Arbeit, die sich mit der Rezeption der Sokrates-Figur im Zeitalter der deutschsprachigen Aufklärung beschäftigt. Damit einhergehend ist Mittermaier Lehrbeauftragter an der Ludwig-Maximilians-Universität. Aktuell hält er ein Proseminar zu Thomas Manns früher Novellistik. Unabhängig von seiner Promotion arbeitet Mittermaier seit September 2019 als Redakteur der ebenso von der Ludwig-Maximilians-Universität herausgegebenen Zeitung Digitale Welt. Darüber hinaus engagiert sich Mittermaier nebenberuflich als freier Musiker.