Die US-Regierung führt seit Jahren einen geheimen Cyberkrieg gegen den Iran. Doch noch gibt es weder anerkannte Regeln der Kriegsführung noch lässt sich das Ausmaß der Bedrohung durch digitale Attacken abschätzen. Das Völkerrecht benötigt dringend ein Update – finden Cyberwar-Experten der NATO.
Mit dem Computervirus “Stuxnet” verhält es sich wie mit der Atombombe. Für die Entwicklung bedurfte es gewaltiger Ressourcen und eines genialen Geistes – der Nachbau ist dagegen ein Kinderspiel. Diesen Vergleich zog Ralph Langner, der Mann, der “Stuxnet knackte”. Vor einem Jahr gab der Cybersicherheits-Experte auf der dritten International Conference on Cyber Conflict (CyCon) der NATO-Staaten in Tallinn zu bedenken, wie einfach Stuxnet zu kopieren sei. Um eine ähnliche Attacke durchzuführen, sei weder Insider- noch Programmierwissen nötig. Auf seinem Blog findet man eine Anleitung zur – wie Langner es nennt – “Zeitbombe aus 14-Byte”.
Kurz vor dem Auftakt des vierten Cyberwar-Gipfels, das noch bis zum 8. Juni in der estnischen Hauptstadt stattfindet, zündete die New York Times eine mediale Bombe: Die USA und Israel hätten den Stuxnet-Virus programmiert, um die iranischen Urananreicherungsanlagen lahmzulegen. Wie der Washington-Korrespondent der NYT, David E. Sanger, in einem Vorabdruck seines neuen Buches “Confront and Conceal” enthüllt, führt die Weltmacht seit 2006 einen geheimen Cyberkrieg gegen den Iran. Im Sommer 2010 war die Cyberattacke auf die Atomanlage im iranischen Natanz bekannt geworden, als der Virus versehentlich die Atomanlage verließ und im Internet umherirrte: Erst durch diesen Programmfehler erfuhr die Welt von Stuxnet. So umstritten der Erfolg der 2006 aufgenommenen Geheimoperation “Olympic Games” in der beabsichtigten Verzögerung des iranischen Atomprogramms auch unter Beteiligten ist, so bewusst schien ihnen das mögliche Ausmaß der Folgen. Sollte sich die US-Regierung je offiziell zu dieser Kriegsführung bekennen, so soll US-Präsident Obama vor seinem Mitarbeiterstab befürchtet haben, würde dies “andere Staaten, Terroristen oder Hacker” legitimieren, selbst Cyberattacken zu verüben.
Cyberkriege längst Realität
Zweifellos erweitert die digitale Kriegsführung heute in beträchtlicher Weise die außenpolitischen Handlungsoptionen eines Staates, dem traditionellerweise diplomatische und militärische Mittel zur Verfügung stehen. Die USA etwa unterhält seit 2010 mit dem U.S. Cyber Command eine eigene Militärbehörde für den nach Land, Wasser, Luft und Weltraum “fünften Operationsraum”. Gerade weil sich Angriffe im Cyberspace schwer bis gar nicht zurückverfolgen lassen, stellen sie eine verlockende Alternative zu konventionellen Interventionen dar. Wie lautlos und effektiv staatliche Cyberattacken sein können, zeigt die unter Obama ausgeweitete Mission “Olympic Games”: Schätzungsweise um zwei Jahre wurde das iranische Atomprogramm zurückgeworfen, ohne dass der Angriff den USA oder Israel hätte nachgewiesen werden können. Zuvor wurde bereits der Virus Duqu gegen den Iran eingesetzt. Experten des russischen Softwareunternehmens Kaspersky Labs zufolge könnte der zuletzt im Nahen Osten entdeckte Trojaner Flame ebenfalls auf das Konto der Stuxnet-Programmierer gehen. Allem Anschein nach ist Flame, der auch tausende Computer im Iran ausspioniert hat, erstmals 2007 eingesetzt worden.
Unbestreitbar liegt in der Möglichkeit der Anonymität auch die größte Gefahr des Cyberwar: Gegen wen richtet sich ein etwaiger Vergeltungsschlag, wenn lediglich Indizien für den Urheber der Attacke – technische und finanzielle Ressourcen, Motive für den Angriff – vorliegen. Darf der Iran aufgrund eines reinen Verdachtfalls militärische Ziele und Industrieanlagen in den USA und Israel torpedieren? Selbst bei klarer Beweislast stellt sich immer noch das Problem, ab wann von einem bewaffneten Angriff gesprochen – und mit welchen Mitteln darauf reagiert werden darf. Bislang fehlen völkerrechtlich akzeptierte Konventionen zur Begrenzung staatlicher Cyberkriege. Dabei ist ein Regelwerk für den Cyberkrieg längst überfällig.
Denn der Iran ist kein Einzelfall: Estland wurde 2007 als erstes Land Opfer einer gezielten Cyberattacke, vermutlich steckte wie bei den Angriffen auf Georgien ein Jahr später Russland dahinter. In mehr als 100 Staaten hat China mutmaßlich Wirtschaftsspionage betrieben – auch das Bundeskanzleramt sowie das deutsche Außen- und das Wirtschaftsministerium waren davon betroffen. Die USA haben im vergangenen Jahr gleich zweimal mit Cyberattacken geliebäugelt: Das Pentagon erwog vor dem NATO-Einsatz in Libyen einen gezielten Cyberschlag gegen Gaddafis Luftwaffenverteidigung. Bekanntermaßen griff der Staatenbund jedoch auf konventionelle Militärschläge gegen Radaranlagen und Raketenabwehrsystem zurück. Auch zog die USA bei der Navy-Seals-Operation im Mai 2011 gegen Osama Bin Laden in Betracht, pakistanische Radaranlagen mit digitalen Waffen auszuschalten, um die Helikopter unentdeckt nach Abbottabad zu fliegen. Über die Beweggründe dagegen wird spekuliert. Möglicherweise wollten die USA nicht offen legen, wie weit ihre Cyberkapazitäten zum damaligen Zeitpunkt reichten.
Cyberangriff kein NATO-Bündnisfall
Wer heute zu welchen Cyberattacken in der Lage ist und wie diese völkerrechtlich bewertet werden können, wird am Cooperative Cyber Defence Center (CCDC) der NATO studiert. Die Experten arbeiten deshalb an dem Entwurf eines Kriegs-Völkerrechts für den Cyberspace. Das 2008 gegründete Zentrum lädt zudem jedes Jahr renommierte Experten zur Cyberconflict-Konferenz nach Tallinn. Auf der vierten CyCon werden seit gestern militärische und paramilitärische Aktivitäten im Cyberspace erörtert. Völkerrechtliche Fragestellungen zur territorialen Souveränität und Neutralität gehören ebenso zum Programm wie Experten-Workshops zur Analyse von Cyberschädlingen. Wissensaustausch und Kooperation in Cyberthemen sind die erklärten Ziele der Konferenz. Das Bedürfnis nach strategischer Zusammenarbeit zur Abwehr von Cyber-Gefahren scheint indes zu wachsen: Mittlerweile sind elf der 28 NATO-Staaten – darunter Deutschland – dem Exzellenz-Zentrum beigetreten -drei allein in den vergangenen sechs Monaten.
Bislang rüsten die Bündnispartner Cyber-Kampftruppen noch im Alleingang. Das soll sich bis Ende des Jahres ändern. Im Februar einigten sich die NATO-Länder auf die Errichtung der Cyber Incident Response Capability (NCIRC). 58 Millionen Euro ist der NATO der Aufbau eines Cyberschutzschildes und der Bündelung von Cyberkompetenz Wert – nicht viel angesichts der Milliarden, die China und USA für digitale Kriegsführung ausgeben. Zunächst werden die nationalen Programme vorrangig weiterlaufen. Denn nach dem Lissabonner Strategiekonzept der NATO löst ein Cyberangriff auf einen Mitgliedstaat nicht den Bündnisfall aus. Deshalb schulte beispielsweise die Bundeswehr jahrelang die Einheit für Computernetzwerkoperationen für den Cyberkireg. Seit Ende 2011 soll sie auch für Angriffe einsatzbereit sein. Nach einem Bericht der Financial Times Deutschland fehlen aber noch die rechtlichen Grundlagen für mögliche deutsche Cyber-Operationen im Ausland.
Einen sicheren Schutz vor Cyberattacken wird es trotz aller Bemühungen nicht geben können. Deshalb fordern Cyber-Sicherheitsexperten wie Sandro Gaycken auch die Trennung bestimmter Industrieanlagen wie Atomkraftwerke vom Netz – diese Maßnahme bietet den besten Schutz gegen Angriffe aus dem Cyberwar. Länder wie Syrien, Nordkorea oder China isolieren ihr Netz vom globalen Netzverkehr – für westliche Demokratien ein undenkbarer Schritt. Die Freiheit auf Information und Austausch ist ein kostbares Gut, für die manche Gefahr auch bewusst in Kauf genommen werden muss. Wie eben die Anleitung zur 14-Byte-Bombe.