'Keine AKWs angreifen'

Die NATO hat jetzt ein 'Handbuch' für den Cyberkrieg

• 
  (Bild: Thinkstockphotos.de)

Der Krieg der Zukunft wird nicht mehr nur mit Panzern, Flugzeugen und konventionellen Waffen ausgetragen. Auch der Cyberkrieg über das Internet hat mittlerweile Einzug in die Planungen und Strategien der Militärs gehalten - so auch bei der NATO. Jetzt ist erstmals ein "Handbuch" erarbeitet worden, das im Falle eines Cyberkrieges als Verhaltenskodex für das Militärbündnis dienen soll. Man solle etwa keine Dämme oder Atomkraftwerke angreifen, um hohe Verluste unter der Zivilbevölkerung des Gegners zu vermeiden, steht darin geschrieben.

Auf Cyberangriffe sollte ein Staat nur dann mit Waffengewalt antworten, wenn die Attacken Menschenleben gekostet oder massive Schäden am Besitz eines Staates angerichtet hätten. Regeln wie diese enthält das NATO-Handbuch, das einem Bericht der britischen Tageszeitung "The Guardian" zufolge in den letzten drei Jahren von 20 Rechtsexperten aus verschiedenen NATO-Staaten in Zusammenarbeit mit dem Roten Kreuz und dem US-Cyberkommando in Estlands Hauptstadt Tallinn erarbeitet wurde.

Cyberattacken aus Russland legten 2008 Estland lahm
Estland wurde deshalb als Standort für das "Co-operative Cyber Defence Centre of Excellence" (CCDCOE) der NATO gewählt, weil der baltische Staat als eines der ersten Länder der Erde am eigenen Leib erfahren musste, welche gravierenden Auswirkungen Angriffe aus dem Cyberspace auf das tägliche Leben der Bürger haben können. Schon 2008 wurde Estland Opfer einer Reihe von Cyberangriffen, deren Ursprung nach Russland zurückverfolgt wurde.

Mithilfe sogenannter Denial-of-Service-Attacken wurden zahlreiche Websites in Estland lahmgelegt, und auch die Infrastruktur des Landes nahm damals Schaden. Es handelte sich um einen der ersten groß angelegten Cyberangriffe überhaupt, und der Fall Estland sorgte dafür, dass die Gefahr durch Angriffe aus dem Web von Militärexperten nicht länger als düstere Zukunftsvision, sondern als ganz reale Bedrohung betrachtet wurde.

Handbuch als "wichtigstes Dokument" zum Cyberkrieg
Das nun erarbeitete Handbuch für den Cyberkrieg enthält insgesamt 95 Faustregeln, die beim Umgang mit Cyberangriffen zu beherzigen sind. Es sei "das wichtigste Dokument im Recht der Cyberkriegsführung", sagt NATO-Rechtsberater Kirby Abbott der Zeitung. Es werde äußerst nützlich sein, ist der NATO-Offizier überzeugt.

Wie dringend ein Leitfaden für den Cyberkrieg gebraucht wurde, verdeutlicht das Beispiel der "Stuxnet"-Malware, mit deren Hilfe das Atomprogramm des Iran sabotiert wurde. Die vermutlich von den USA oder Israel (siehe Infobox) entwickelte Malware führte zu ernsthaften Schäden an empfindlichen Zentrifugen zur Urananreicherung. Die Expertenrunde in Tallinn nutzte dieses Beispiel aus der jüngeren Vergangenheit, um darüber zu debattieren, ob es sich bei derartigen Malware-Angriffen bereits um einen bewaffneten Konflikt handle oder nicht.

Handbuch empfiehlt nur in Extremfällen Gewalt als Reaktion
Mit Regel 22 des Cyberkrieg-Handbuchs hat die Expertenrunde eine Richtlinie erarbeitet, ab wann im Cyberkrieg von bewaffneten Konflikten gesprochen werden kann. Demnach sei dies immer dann der Fall, wenn Feindseligkeiten zwischen zwei oder mehr Staaten auftreten, die Cyber-Operationen beinhalten oder sich auf selbige beschränken. Im Falle einer solchen ernstzunehmenden Auseinandersetzung sei es nötig, angemessene Gegenmaßnahmen gegen Online-Angriffe zu ergreifen. Gewalt werde dabei jedoch erst dann akzeptiert, wenn die Cyberattacken in dem Konflikt Tote oder ernsthafte Schäden an staatlichem Eigentum nach sich ziehen.

Michael Schmitt, der Leiter des Projekts rund um das Cyberkrieg-Handbuch, zur Zeitung: "Man kann erst dann Gewalt anwenden, wenn man die Stufe des bewaffneten Konflikts erreicht hat. Jeder redet über den Cyberspace, als wäre es der Wilde Westen. Wir haben aber zahlreiche Gesetze entdeckt, die sich auch im Cyberspace anwenden lassen." Eines dieser Gesetze regelt beispielsweise die Schuldfrage im Falle eines Cyberangriffes.

Regel sieben: Keine voreiligen Schuldzuweisungen
Demnach sei es nicht ausreichend, eine Attacke in das Netzwerk eines anderen Staates zurückzuverfolgen, um dem betreffenden Staat die Schuld an den Angriffen zu geben. Angriffe wie jene auf eine Reihe von US-Zeitungen und Softwareunternehmen, deren Ursprung immer wieder nach China zurückverfolgt werden konnte, seien demnach kein Indikator dafür, dass die chinesische Regierung die Angriffe in Auftrag gegeben hat, sondern nur ein Indiz dafür, dass der betreffende Staat an der Operation beteiligt ist.

In den letzten Wochen hatte exakt dieser Punkt für ein immer frostigeres Klima zwischen den Regierungen in Washington und Peking gesorgt. Die USA machten die chinesische Führung für Cyberangriffe auf US-Einrichtungen verantwortlich, und in US-Medien wurde sogar der vermeintliche Sitz einer Hacker-Einheit der Volksbefreiungsarmee (siehe Infobox) in Shanghai gezeigt, die für die unbefugten Zugriffe auf US-Netzwerke verantwortlich sein soll. Die chinesische Führung wies wiederum jegliche Beteiligung an den Attacken zurück und gab zu bedenken, dass auch chinesische Einrichtungen von US-Hackern angegriffen würden, man deshalb aber nicht der US-Regierung die Schuld daran gebe.

Regel 80: Keine AKWs, Dämme oder Spitäler lahmlegen
Die wahrscheinlich wichtigste Regel im Cyberkrieg-Handbuch der NATO regelt den Umgang mit zivilen Einrichtungen. Regel 80 thematisiert, ähnlich der Genfer Konventionen im konventionellen Krieg, die erlaubten Angriffsziele im Falle eines Cyberkriegs. So seien Angriffe auf wichtige zivile Einrichtungen verpönt, gleichzeitig werden Attacken auf für die Zivilbevölkerung potenziell gefährliche Einrichtungen wie Dämme, Deiche oder Atomkraftwerke verurteilt. Auch Krankenhäuser und sonstige medizinische Einrichtungen dürfe man im Falle eines Cyberkrieges nicht lahmlegen, steht im NATO-Handbuch.

Auch wenn mit dem Cyberkrieg-Handbuch des CCDCOE erstmals ein umfassendes Regelwerk für die 28 Mitgliedstaaten des Nordatlantikpakts zur Verfügung steht, das die militärischen Schritte im Falle eines Cyberkriegs regelt, hat das Werk noch keinen bindenden Charakter. Es sei als beratendes Handbuch konzipiert, an dessen Vorschlägen sich NATO-Staaten bei der Kriegsführung im Web orientieren können, aber nicht müssen. Unwahrscheinlich ist zudem, dass sich im Falle einer tatsächlichen Eskalation eines Cyberkonflikts der Gegner eines NATO-Mitglieds an die 95 Faustregeln des Cyberkrieg-Handbuchs halten würde.

Besuchen Sie krone.at/Digital auf Facebook und werden Sie Fan!