Der Cyberspace und die Streitkräfte

Technologische Fortschritte haben das Wesen der Kriegführung seit Beginn der Industriellen Revolution kontinuierlich verändert. Die Nutzung von Cyber-Techniken für militärische Zwecke markiert die jüngste Phase in einer langen Geschichte von Veränderungen und Anpassungen. Kein vernünftig denkender Mensch wünscht sich Krieg, und Streitkräfte sind heute meist auf Abschreckung ausgerichtet. Um Angriffe jedoch wirksam verhindern zu können, bedarf es wirkungsvoller Cyber-Fähigkeiten. Wie schon die Strategen im alten Rom wussten: „Wer Frieden will, muss für den Krieg gewappnet sein.“

Die Erfordernisse einer effektiven Verteidigung begründen den Bedarf an militärischen Cyber-Fähigkeiten. Ein Staat kann seine Aufgaben zur Wahrung der nationalen und öffentlichen Sicherheit nicht wahrnehmen, ohne dass ihm angemessene Cyber-Fähigkeiten zur Verfügung stehen. Sie bilden einen wesentlichen Bestandteil der nationalen Verteidigung. Viele Staaten treiben die Entwicklung solcher Cyber-Potentiale voran und erproben deren bestmögliche Organisation und Nutzung.

In die Diskussion um diese neuen Erfordernisse mischen sich Bedenken hinsichtlich der sogenannten offensiven Cyber-Fähigkeiten. In der Tat können hoch entwickelte militärische Cyber-Fähigkeiten – wie jede andere Art von Waffen – sowohl für offensive als auch defensive Zwecke genutzt werden. Es mag unlogisch erscheinen, aber offensive Fähigkeiten bewirken eine Verbesserung der Abwehr. Die Defensive profitiert von der Offensive, was die Stärkung der Sicherheit angeht, und Angriffe lassen sich stören, noch ehe Schäden entstehen. So gesehen sind offensive Fähigkeiten eher gegen Netzwerke des Gegners gerichtet, als dass sie Maßnahmen gegen eigene Netze behindern. Die Ablehnung „offensiver“ Fähigkeiten verdammt Staaten zu veralteter Technologie und einer überholten Verteidigungsstrategie.

Keine moderne militärische Streitmacht kann erfolgreich im Cyberspace operieren, ohne über das gesamte Spektrum an Fähigkeiten, Techniken und Werkzeugen zu verfügen. Eine nachhaltige Modernisierung der Streitkräfte setzt voraus, dass Deutschland seine Cyber-Kräfte so ausbildet, trainiert und organisiert, dass sie zu einem elementaren Bestandteil der nationalen Verteidigung und der Abschreckungsstrategie werden.

Bewertung der Cyber-Wirkung

Cyber-Angriffe sind weitgehend unbekannt. Bisher hat es nur eine Handvoll Vorkommnisse gegeben, die man als „bewaffneten Angriff“ oder „Akt der Gewalt“ definieren könnte. Dieser Mangel an Erfahrung verleitet zu einer Fehleinschätzung der militärischen Nutzung von Cyber-Fähigkeiten, ihrer Wirkungen und Risiken. Es besteht zwischen den Staaten kein Konsens darüber, welche Cyber-Maßnahmen als „bewaffneter Angriff“ oder „Gewaltanwendung“ zu werten sind. Für die Zwecke dieser Diskussion soll als Cyber-Angriff jede Maßnahme gelten, die mit dem Ziel einer militärischen Wirkung durchgeführt wird.

Ein eindeutiges Verständnis vom militärischen Nutzen von Cyber-Angriffen verdeutlicht, dass die Entwicklung von Cyber-Fähigkeiten oder deren planvolle Organisation weder grundsätzlich gegen das Völkerrecht verstößt noch neue Risiken für den Frieden birgt. Cyber-Angriffe sind eine „Unterstützungswaffe“, die das Gefechtsfeld prägen können, aber in nur sehr begrenztem Umfang fähig sind, Verluste an Menschenleben oder Sachschaden zu verursachen. Mit Cyber-Angriffen alleine lässt sich kein Krieg gewinnen, und die Vorstellung von einem „Cyberkrieg“ - einem Krieg, der ausschließlich mit Computerangriffen geführt wird - ist lächerlich, denn kein Land kann davon ausgehen, dass Cyber-Angriffe alleine einen halbwegs motivierten Gegner zur Aufgabe zwingen werden.

Strategisch oder militärisch wirksame Cyber-Angriffe erfordern die Manipulation von Software, Daten, Wissen und Meinung, um Leistungsvermögen beeinträchtigen und politische oder psychologische Wirkung entfalten zu können. Die strategische Wirkung eines Cyber-Angriffs besteht darin, dass er den Willen oder die Widerstandskraft des Gegners schwächt. Dies kann durch politisch motivierte Cyber-Zwangsmaßnahmen erreicht werden, wie sie gegen Estland angewendet wurden. Die militärische Wirkung zeigt sich in einem verminderten Leistungsvermögen von Kommandeuren, Truppen und Waffen. Ein Beispiel hierfür sind die vermeintlichen Cyber-Angriffe Israels im Jahr 2007, die in Verbindung mit Operationen der Elektronischen Kampfführung im Rahmen eines Luftschlags gegen syrische Nukleareinrichtungen geführt wurden.

Die meisten Cyber-Angriffe erzielen immaterielle Wirkungen. Die Ausweitung des „fog of war“ führt zu Unschlüssigkeit und vermindert das Reaktionsvermögen des Gegners, was der eigenen Seite Vorteile verschafft. Moderne Waffen benötigen Software, und die Störung dieser Software kann sich negativ auf ihre Funktionsfähigkeit auswirken. Die Manipulation der öffentlichen Meinung in der Absicht, die Legitimität und Autorität des Gegners bei einheimischen und ausländischen Zielgruppen zu untergraben, ist ein weiteres lohnendes Ziel. Einige auf einheimische Zielgruppen abzielende Maßnahmen mögen nur eine symbolische Wirkung entfalten, aber auch das kann von Nutzen sein. Die Fähigkeit, Netzwerke, Waffen und Befehlsstrukturen eines Angreifers zu stören, verschafft der Verteidigung erhebliche Vorteile.

Eine Reihe von hypothetischen Beispielen verdeutlicht die militärische Wirkung. Flugabwehrsysteme erzielen die besten Ergebnisse, wenn sie vernetzt sind und alle Komponenten dieser Netzwerke (Radar, Zielrechner, Flugkörper) von einer Software gesteuert werden. Die Störung von Netzwerken oder Software vermindert die Leistung der Flugabwehr. Ähnlich wie Firmen nutzen auch Streitkräfte Computernetzwerke zur Organisation ihrer Logistik. Die Störung von Logistikrechnern kann dazu führen, dass Bestellungen storniert oder Warenlieferungen falsch zugestellt werden. Um den Standort, die Bewegungen und Absichten eines Gegners ermitteln zu können, benötigen Kommandeure eine Flut von Informationen, die ihnen Sensoren und Aufklärungssysteme liefern. Ein plötzliches Abschneiden dieser Informationen oder die gezielte Einsteuerung von Fehlinformationen kann lähmend wirken.

Dabei handelt es sich nicht um „kinetische Effekte“, welche die durch Projektil und Explosivstoff verursachten Detonationen bei herkömmlichen Waffen kennzeichnen. Cyber-Angriffe erzeugen in erster Linie immaterielle (im Gegensatz zu physischen), nichtkinetische Wirkungen, die Verwirrung verursachen, zur Meinungsbildung beitragen und Daten oder Dienstleistungen stören. Cyberwaffen können Sachschäden anrichten, aber solche Wirkungen setzen spezielle Kenntnisse voraus, sind mit einem hohen Zeitaufwand verbunden und haben oft nur begrenzten militärischen Wert. Militärplaner sind heute oft bemüht, Schäden an ziviler Infrastruktur zu vermeiden. Solche Schäden sind in Konflikten kurzer Dauer nur von geringem Nutzen und ihre Wirkung auf die Weltöffentlichkeit macht die erzielten Vorteile zunichte. In einigen Fällen führen die Wirkungen einer zerstörten Infrastruktur nicht schnell genug zu einer Herabsetzung des Leistungsvermögens der verteidigenden Truppen, um einen militärischen Vorteil daraus ziehen zu können. Eine Ausnahme bilden Cyber-Angriffe auf Stromanlagen, da die meisten Streitkräfte bis zu einem gewissen Grad auf zivile Infrastruktur zur Stromversorgung angewiesen sind. Die Beschädigung anderer ziviler Ziele durch Cyber-Angriffe wird dagegen kaum zu Vorteilen auf dem Gefechtsfeld führen.

Der Zusammenhang zwischen Cyberkriegführung und elektronischer Kampfführung ist eine Untersuchung wert. Die elektronische Kampfführung war die erste Stufe der immateriellen Kriegführung. EloKaElektronische Kampfführung stört die Sensoren, die die Erfassung gegnerischer Waffen ermöglichen. EloKaElektronische Kampfführung-und Cyber-Fähigkeiten sind heute im Begriff, miteinander zu verschmelzen. Der Cyberkrieg mag sich als die dominante Form der EloKaElektronische Kampfführung erweisen, aber im Gegensatz zur EloKaElektronische Kampfführung, die in der Regel statisch verläuft, ist die Cyber-Kriegführung dynamisch und erfordert ein hohes Maß an Steuerung und Kontrolle, um schnelle Wechsel und Anpassungen zu ermöglichen und somit ihre Wirkung zu entfalten. Ein Luftfahrzeug, ein Panzer oder ein Schiff, das über keine EloKaElektronische Kampfführung-Fähigkeiten verfügt, stellt letztendlich ein Ziel dar. Folglich wird das Versäumnis, militärische Cyber-Fähigkeiten weiterzuentwickeln, der Operationsfähigkeit im Gefecht zunehmend schaden und sie vielleicht sogar zerstören.

Einsatzregeln und Kontrolle der Cyber-Fähigkeiten

Cyber-Fähigkeiten sind ihrem Wesen nach nicht offensiv. Die Verfahren, die den Einsatz dieser neuen militärischen Kampfmittel regeln, bestimmen, ob von der Beschaffung von Cyber-Fähigkeiten Gefahr ausgeht. Staaten, die ihre außenpolitischen Ziele vorzugsweise unter Einsatz von Zwangsmaßnahmen durchsetzen, werden in Cyber-Angriffen ein weiteres nützliches Instrument der Staatsmacht sehen. Staaten, die eher defensiv orientiert sind und sich der friedlichen Lösung von Konflikten verpflichtet sehen, werden sich durch den Erwerb offensiver Cyber-Fähigkeiten von dieser Verpflichtung nicht abbringen lassen.

Zwischen den Nationen besteht ausdrückliches Einvernehmen darüber, dass ein Cyber-Angriff, der ähnliche Wirkungen zeigt wie ein Angriff mit konventionellen Waffen und physische Zerstörung und Menschenopfer zur Folge hat, als ein Akt der Gewaltanwendung oder als ein bewaffneter Angriff anzusehen ist. Diese Regelungen sind in Artikel 2/4 und 51 der UNUnited Nations-Charta festgelegt, und eine internationale Verständigung auf diese Regeln ist unabdingbar für die Anwendung des Völkerrechts. Auf nationaler Ebene ist eine Einigung darauf, was als Gewaltanwendung oder Angriff gelten soll, Voraussetzung dafür, dass militärische Cyber-Operationen im Einklang mit dem humanitären Völkerrecht geführt werden.

Cyber-Angriffe, die immaterielle Wirkungen verursachen, stellen völkerrechtlich nach wie vor eine Grauzone dar, aber in einem ersten Schritt konnte man sich darauf verständigen, dass ein Cyber-Vorkommnis ausreichender Größe, Intensität und Dauer, um schädliche Folgen erheblichen Umfangs und unverzüglicher Wirkung zu erzielen, einem bewaffneten Angriff gleichzusetzen ist. Es gibt jedoch eine Reihe von Zwangsmaßnahmen, die unterhalb der Schwelle des „bewaffneten Angriffs“ liegen, ähnlich wie der Flug eines Militärflugzeugs entlang der Grenze des nationalen Luftraums als eine Bedrohung erscheint und als Zwangsmaßnahme gedacht ist, aber keinen Angriff darstellt. Diese Grauzonen stellen für die Entwicklung einer Militärstrategie ein vielschichtiges Problem dar, das sich jedoch zumindest teilweise durch Bezugnahme auf ähnliche Vorkommnisse aus der realen Welt lösen lässt.

Klare Richtlinien, die den Einsatz von Cyber-Waffen völkerrechtlich verbindlich regeln, machen Cyber-Waffen zu einem festen Bestandteil der nationalen Verteidigung, nicht zu einer beunruhigenden Verstärkung des militärischen Arsenals. Deutschland als Teilnehmer der jüngst gebildeten UNUnited Nations Group of Government Experts 2015 unterstützt die Inkraftsetzung von grundlegenden Leitlinien zur Regelung bewaffneter Konflikte nach dem Völkerrecht, unter Wahrung der Prinzipien von Humanität, Notwendigkeit, Verhältnismäßigkeit und Unterscheidung. Diese bilden selbstverständlich den Kern des Rechts bewaffneter Konflikte; die Verständigung auf deren Einhaltung im Rahmen von militärischen Operationen im Cyberspace stellt Cyberspace auf eine Stufe mit anderen Arten von Waffen, deren Einsatz gewissen Beschränkungen unterliegt, aber nicht verboten ist.

Aufstellung eines Cyber-Kommandos

Will man die Streitkräfte eines Landes vor der Museumsreife bewahren, müssen sie heute offensive Cyber-Fähigkeiten erwerben und kohärent aufgestellt sein. Vor einigen Jahren noch bestand Unklarheit über Organisation und Gliederung dieser neuen Fähigkeiten, aber zunehmend sind die Staaten dazu übergegangen, die militärischen Cyber-Fähigkeiten in eine Art von „Cyber-Kommando“ zusammenzufassen, einem geschlossenen militärischen Bereich, der die bestehenden Cyber-Elemente zu einer kohärenten Einheit bündelt.

Staaten tun dies, weil ein Cyber-Kommando viele Vorteile bietet. Zum einen fördert es die Koordination, was wiederum die Verteidigungsmöglichkeiten verbessert und die „Entflechtung“ von Angriff und Verteidigung erleichtert. Zum anderen erleichtert es die Beschaffung von Cyber-Mitteln und -Ausbildung und spart Kosten (der Ausbildungsaufwand sollte nicht unterschätzt werden). Die USA stellten als erstes Land ein Cyber Command auf (anfänglich als Defensivmaßnahme, um die Koordinierung unter den defensiv ausgerichteten militärischen Elementen zu verbessern). Die Streitkräfte größerer Länder folgen jetzt ihrem Beispiel.

Der militärische Einsatz von Cyber-Techniken ist nicht mit Spionage gleichzusetzen, auch wenn Angriff und Ausspähung zusammenhängen und Cyber-Operationen Aufklärung voraussetzen. Cyber-Aktionen zur Gewinnung von militärisch wertvollen Informationen sind wichtig, stellen aber keinen Angriff dar. Die Fähigkeiten und Mittel sind ähnlich, aber ein klarer Unterschied liegt darin, dass die Nachrichtengewinnung die Entscheidungsfindung unterstützt, während Angriffe diese stören. Cyber-Spionage und Cyber-Angriff überschneiden sich in erster Linie in der Notwendigkeit, sicherzustellen, dass Spionageaktivitäten gegen Netzwerke mit militärischen Cyber-Operationen abgestimmt werden, so dass sich diese nicht gegenseitig stören. In dieser Hinsicht kann ein zentrales Kommando von unschätzbarem Wert sein.

Unsicherheit kennzeichnet die Nutzung militärischer Cyber-Fähigkeiten, wenn man vom heutigen Stand der Technik ausgeht. Nicht immer wissen wir, welche Einrichtungen mit anzugreifenden Netzwerken verbunden sind. Es könnte ein Krankenhaus sein oder eine andere zivile Einrichtung, die kein legitimes Ziel darstellt. Darüber hinaus besteht stets die Sorge, dass der Angriff auf ein legitimes militärisches Ziel außer Kontrolle gerät und unschuldige Zivilisten treffen könnte. Im Laufe der Zeit wird der technologische Fortschritt eine verbesserte Zielerfassung ermöglichen und damit das Problem lösen. Die Fokussierung auf militärische Netzwerke als Ziele vermindert das Risiko (Krankenhäuser nutzen mit großer Wahrscheinlichkeit nicht dieselben Computernetzwerke wie Flugabwehrsysteme).

Das Risiko von Kollateralschäden lässt sich durch die Schaffung nachhaltiger Führungsstrukturen für Cyber-Operationen und –Mittel vermindern. Bei Operationen, die politische Risiken bergen, sollten zudem die entsprechenden Genehmigungsverfahren auf höchster politischer Ebene erfolgen. In den USA beispielsweise setzen offensive Cyber-Operationen die Genehmigung durch den Präsidenten voraus. Solange Nationen nicht über ausreichende Erfahrungen verfügen und die Technik noch nicht reif ist, bietet eine klare Befehlskette bis hinauf zur politischen Ebene, die Genehmigungen erteilt, die beste Lösung. Die Alternative, entweder auf Cyber-Fähigkeiten zu verzichten, sie auf rein defensive Maßnahmen zu begrenzen oder auf viele Truppenteile aufzuteilen, führt nur zu einer Schwächung der Defensive.

Militärische Cyber-Fähigkeiten werden auch in den Fokus von Bündnisverpflichtungen rücken. Die NATONorth Atlantic Treaty Organization ringt mit ähnlichen Fragen in Bezug auf offensive Fähigkeiten, aber angesichts verschärfter Spannungen und neuer Arten von Konflikten (zum Beispiel hybride Kriegsführung) ist es schwer vorstellbar, wie die NATONorth Atlantic Treaty Organization eine glaubhafte Abschreckung ohne Zugriff auf das gesamte Spektrum an Cyber-Fähigkeiten sicherstellen kann. Niemand wird ernsthaft verlangen, dass die NATONorth Atlantic Treaty Organization sich mit Flugabwehrsystemen zufrieden geben und auf Jagdflugzeuge verzichten sollte. Mit den Cyber-Fähigkeiten verhält es sich ähnlich. Die Beschaffung von Cyber-Angriffsmitteln durch die NATONorth Atlantic Treaty Organization (im Sprachgebrauch der NATONorth Atlantic Treaty Organization „aktive Abwehr“) verpflichtet das Bündnis, neue Erfordernisse zu definieren. Die Verantwortlichkeiten für Führung und Genehmigung von Cyber-Angriffen sind explizit festzulegen und in reguläre Planungen, Übungen und Konsultationen aufzunehmen. Gleiches gilt für nationale Cyber-Fähigkeiten.

Nationen regeln ihre Beziehungen untereinander durch Mittel der Überzeugung, der Einflussnahme und des Zwangs. Cyber-Verfahren stellen ein neues Instrument der Staatsmacht dar. Wichtiger noch, sie sind unabdingbar für eine wirkungsvolle Verteidigung und Abschreckung, sowohl auf nationaler Ebene wie auch im Bündnis. Während Deutschland im Begriff ist, die Rolle und Struktur seiner Streitkräfte zu überdenken und die Probleme im Zusammenhang mit Gliederung, Doktrin und Einsatz von Cyber-Operationen zu untersuchen, bieten sich folgende Lösungen an:

• Entwicklung des gesamten Spektrums an militärischen Cyber-Fähigkeiten für offensive und defensive Anwendungen
• Schaffung eines zentralisierten Kommandostruktur zur Steuerung dieser Fähigkeiten, unter Festlegung klarer Forderungen für die Genehmigungsverfahren auf politischer Ebene
• Einbettung dieser Fähigkeiten in eine Doktrin und einen auf dem humanitären Völkerrecht basierenden Rechtsrahmen.

Der Artikel gibt ausschließlich die Meinung des Autors wieder.