Zu langsam für den Cyberkrieg
4. Februar 2011
Der Computerwurm "Stuxnet" infizierte im letzten Jahr Industrieanlagen mit Komponenten der deutschen Firma Siemens auf der ganzen Welt. Eigentliches Ziel aber waren offenbar die iranischen Nuklearanlagen, auch wenn es dafür keine Beweise gibt, ebensowenig wie für die Herkunft des Wurms.
Doch eins steht fest: "Stuxnet" hat eine völlig neue Dimension der Bedrohung eröffnet und die internationale Staatengemeinschaft aufgerüttelt, erklärt Seán McGurk, Direktor des Zentrums für Internetsicherheit der US-Heimatschutzbehörde. Denn der Computerwurm war darauf programmiert, ein bestimmtes Ziel anzugreifen: "Stuxnet war so programmiert, dass er viele Geräte durchlaufen konnte, ohne Schaden anzurichten, weil er nach einer bestimmten Kombination von Hardware und Software Ausschau hielt."
Vorbeugung und Vorbereitung
Zwischen den USA und Europa, sagt der Regierungsbeamte, habe es aber auch schon vor "Stuxnet" eine umfassende Kooperation zum Schutz des Cyberspace gegeben. Zum Beispiel das sogenannte Beobachtungs- und Warnungs-Netzwerk, dem 15 Länder angehören, darunter Deutschland, Frankreich, Spanien, Großbritannien und Schweden.
"Wir haben in den letzten Jahren gemeinsame Übungen durchgeführt wie 'Cyberstorm'", erklärt McGurk, "tauschen Informationen aus und wir entwickeln gemeinsame Produkte für Cybersicherheit und Risikoverringerung." Man setzt also auf Vorbeugung und Vorbereitung. Das ist notwendig angesichts der hohen Zahl der Angriffe. Die Computersicherheitsfirma McAfee überwacht 160 Millionen Computer und Netzwerke weltweit. Nach den Angaben der Firma werden jeden Tag 30-50 Millionen Geräte jeden Tag infiziert.
Europa technisch nicht auf einem Stand
Und weil Computerviren keine Grenzen kennen, ist die transatlantische Zusammenarbeit so wichtig. Doch sie hat viele Hürden. James Lewis, Technologie-Experte beim Zentrum für Strategische und Internationale Studien (CSIS) in Washington, weist auf den unterschiedlichen Entwicklungsstand der europäischen Länder hin. Lewis war im Auswärtigen Dienst der US-Regierung für Internetsicherheit zuständig: "Im Moment würde ich sagen, dass Großbritannien und vielleicht die skandinavischen Länder besser vorbereitet sind als alle anderen." Doch es gebe auch europäische Länder, fährt er fort, die hätten das Wort Cybersecurity noch nie gehört.
Deutschland, so Lewis, habe erst vor kurzem erkannt, wie groß der wirtschaftliche Schaden durch Industriespionage sei. Doch auch die USA hätten Probleme, die Standards zu vereinheitlichen, weil in den Bundesstaaten eine traditionelle Skepsis gegenüber Regelungen aus Washington herrscht. Und Lewis zweifelt auch den Wert von gemeinsamen Übungen an, solange man sich noch nicht auf eine transatlantische Vorgehensweise im Falle eines Angriffs geeinigt habe.
Die reale Welt ist zu langsam
US-Cyberchef Seán McGurk weist auf ein anderes Problem im Falle eines Angriffs hin: die Geschwindigkeit, mit der sich im Internet zum Beispiel Viren ausbreiten. "Weder hier in den USA noch in Europa hat man die Konsequenzen der Schnelligkeit, mit der virtuelle Ereignisse ablaufen, erfasst", warnt er. Wenn man physikalische Abläufe auf ein digitales Umfeld überträgt, verlangsamt es den Prozess. Viele der existierenden Gesetze und Regelungen sind also eher hinderlich. Hier müsse ein Umdenken stattfinden, fordert der Amerikaner. Denn wenn seine Behörde beispielsweise eine Bedrohung feststellt, dann dürfen die Informationen nur weitergegeben werden, wenn dies vorher vertraglich festgelegt wurde. Umfassende Übereinkommen mit anderen Ländern und Unternehmen zu treffen, sei das Ziel der transatlantischen Beratungen.
Doch gerade mit den Europäern ist die Zusammenarbeit nicht immer einfach. Sie sind bei der Weitergabe von Daten wesentlich zurückhaltender als die Amerikaner, das hat sich beispielsweise bei der Diskussion um die Weitergabe von Fluggastdaten gezeigt. Tom Gann, bei McAfee zuständig für die internationale Zusammenarbeit, erklärt, dass sich die Europäische Union in den nächsten 18 bis 24 Monaten damit beschäftigen will, die Datenschutzrichtlinie von 1995 zu überarbeiten. "In der EU fasst man den Begriff der personenbezogenen Daten weiter als noch vor einiger Zeit." Inzwischen, so Gann, zähle man Internetadressen und IP-Adressen dazu. "Das schränkt die Möglichkeiten von Organisationen ein, im Internet nach Informationen zu suchen, um Gefahren ausfindig zu machen", warnt er.
NATO arbeitet an einer virtuellen Strategie
Auch unter dem Schirm der NATO arbeitet man daran, gemeinsam gegen Bedrohungen aus dem Internet vorzugehen. Seit 2008 gibt es eine Übereinkunft, Gesetze und Vorgehensweisen der Mitgliedsländer anzupassen. Sie ist eine Reaktion auf den massiven Cyberangriff auf das estländische Internet im Frühjahr 2007. Bis Mitte des Jahres soll die Übereinkunft überarbeitet werden, erklärt Eneken Tikk. Die estländische Juristin arbeitet in einem Cyber Defense Zentrum in Tallin mit der NATO zusammen. Dabei sei es keine Frage, dass der NATO-Artikel 5, also die kollektive Selbstverteidigung, auch im Falle eines virtuellen Angriffs zur Anwendung kommt, sagt sie: "Wenn man die Sache rein vom Gesetz her betrachtet, muss nur ein Kriterium erfüllt werden: Der virtuelle Angriff muss die die gleichen Auswirkungen wie ein konventioneller Angriff haben". Doch auch hier gilt: Das Verteidigungsbündnis ist langsam, denn erst muss der Nordatlantikrat zusammentreffen und den Verteidigungsfall beschließen.
Im Moment gehe man noch davon aus, im Angriffsfall auf ein NATO-Land Artikel 4 anzuwenden, sagt Cyberexperte Lewis: "Das heißt, die NATO-Staaten würden sich beraten, Erfahrungen sammeln und dann beschließen, was zu tun ist." Seiner Ansicht nach reicht das aus. Er habe mit dem estländischen Verteidigungsminister gesprochen, sagt Lewis: "Er sagt, das wäre genau die richtige Antwort, wenn es noch einmal einen Angriff wie den gegen Estland geben sollte." Nach Einschätzung des Cyber-Experten kommt die größte Bedrohung aber nicht von Staaten wie Russland oder China. Die große Sorge sei, dass Nordkorea oder Iran an die Technologie gelangen oder Terroristen einen virtuellen Angriff auf die Infrastruktur eines Landes starten.
Doch auch innerhalb der NATO will man es erst gar nicht so weit kommen lassen. Der stellvertretende US-Verteidigungsminister William Lynn war erst im letzten Monat in Brüssel zu entsprechenden Gesprächen. Die NATO müsse geeignete Maßnahmen ergreifen, um kritische Netzwerke zu schützen, bevor die Angriffe über das hinausgehen, was man in Estland oder auch in Georgien im Sommer 2008 während des kurzen Konflikts mit Russland erfahren hat, bevor aus der bloßen Störung des Internets tatsächlich ein Angriff wird. Doch dazu, so Lynn, müsse man erst einmal in der Lage sein, die Netzwerke des Militärs zu schützen, und soweit sei man noch nicht.
Autorin: Christina Bergmann, Washington
Redaktion: Dirk Eckert