Hackback: Darf der Staat digital angreifen?

Cyber-Attacken werden mittlerweile eine Art von Kriegsführung. (Wolfgang Kumm/DPA)

Haben Sie sich schon einmal gefragt, was eigentlich ein „Hackback“ ist? Wenn man sich über den Begriff bei Wikipedia schlau machen will, wird man – zumindest in der deutschen Ausgabe – nicht fündig. Gleichwohl ist es ein Thema, dass die Bundesregierung schon seit geraumer Zeit politisch beschäftigt – und aktuell mehr denn je. Bei einer Suche in der englischen Ausgabe des Onlinelexikons wird man für den Begriff auf die Seite „Cyber self-defense“ gelenkt, also die Selbstverteidigung von Staaten im digitalen und vernetzten Raum. Aber der Hackback kann viel mehr sein, denn es geht gerade auch um die Frage, ob und unter welchen Bedingungen es möglich ist, dass ein Staat einen anderen Staat „online“ angreift. Dass das Thema aktuell mehr als brisant ist, wird schon daran deutlich, dass in der vergangenen Woche ein geheimes Bundestagsgutachten eines Oberstleutnants der Bundeswehr, das Hackbacks für höchst zweifelhaft hält, „geleakt“ und von verschiedenen Zeitungen veröffentlicht wurde – eine Geschichte fast wie aus einem Agentenfilm. Doch was hat es mit dem Hackback nun eigentlich genau auf sich?

Erstmals einer breiteren Öffentlichkeit bekannt wurde die digitale Kriegsführung mit dem Computerwurm „Stuxnet“ im Jahr 2010. Viele Geschichten und Mutmaßungen ranken sich hierum, aber sicher ist, dass die hochkomplexe Schadsoftware eingesetzt wurde, um Steuerungsanlagen von Siemens zu manipulieren – die damals unter anderem auch im iranischen Atomprogramm benutzt wurden, das durch den Wurm stark beeinträchtigt wurde. Insider vermuten, dass das Programm als digitale Waffe von den USA oder Israel programmiert wurde. Ende Mai dieses Jahres ergaben Recherchen des Bayerischen Rundfunks, dass die Bundesregierung das schon seit Längerem diskutierte Thema „aktive Cyberabwehr“ nunmehr politisch offensiv angeht: So liegt ein internes Konzeptpapier vor, das den behördlichen Abstimmungsprozess nach einem „erheblichen Cyber-Angriff aus dem Ausland“ beschreibt. Demnach will man nicht nur schadhaften Datenverkehr aus anderen Staaten blockieren oder umleiten, sondern auch fremde Computersysteme infiltrieren und Daten verändern oder löschen oder Computer im Ausland abschalten.

Die Hauptfrage ist natürlich, wer in Deutschland für solche Hackbacks zuständig wäre. Erster Kandidat: der Bundesnachrichtendienst. Er ist einer der „Geheimdienste“ in Deutschland und auch für die Auslandsaufklärung zuständig. Auf den ersten Blick kommt er durchaus in Betracht, um gegen ausländische Staaten Cyberangriffe zu leiten. Verfassungsrechtlich sieht es da aber schon anders aus, denn infolge des sogenannten Trennungsgebots, das vor allem aufgrund der Erfahrungen mit der Gestapo im Dritten Reich geschaffen wurde, darf ein deutscher Nachrichtendienst nur Informationen sammeln und auswerten, nicht aber Cyberangriffe durchführen. Aus ähnlichen Gründen dürfte auch der Verfassungsschutz ausscheiden, der zudem nicht für ausländische, sondern vor allem für inländische Bedrohungen zuständig ist. Letztlich sind auch Bundeskriminalamt und Bundespolizei nicht für die Durchführung von Hackerangriffen im Ausland zuständig, da sie in erster Linie nur Computerstraftaten ermitteln, nicht aber aktives Hacking quasi als Gegenmaßnahme betreiben.

Bleibt noch übrig: die Bundeswehr. Zwar verfügt die Bundeswehr seit 2017 sogar über ein eigenes Kommando „Cyber- und Informationsraum“. Die Frage ist aber, wann dieses tätig werden darf, um digitale Kriegsführung zu betreiben. Denn wenn die Bundeswehr, und sei es auch nur digital, angreift, handelt es sich um einen Einsatz von Streitkräften, der durch die Verfassung, also das Grundgesetz, legitimiert werden muss. Dieses bestimmt, dass militärische Operationen vor allem nur zur Verteidigung, bei überregionalen Unglücksfällen oder bei einem inneren Notstand stattfinden dürfen. Wenn die Bundeswehr zum Hackback tätig werden soll, bedarf es also eines Verteidigungsfalls und das bedeutet die Reaktion auf eine militärische Gewaltanwendung, die von außen kommt. Dies dürfte in den seltensten Fällen so sein. Mit ähnlicher Argumentation liegt für Cyberattacken grundsätzlich auch kein Nato-Bündnisfall vor.

Im Ergebnis also: Es wird aktuell politisch viel über ein Thema diskutiert, dem zurzeit noch die rechtlichen Grundlagen fehlen. Sicherlich mag es sinnvoll sein, in einem Klima, in dem Cybersicherheit und Hackerangriffe präsent sind wie nie zuvor, auch über staatlich gelenkte Cyberangriffe nachzudenken. Der gegenwärtig eingeschlagene politische Weg ist dabei aber nicht vielversprechend. Auch stellt sich die berechtigte Frage, ob es gerade Aufgabe des Staates sein sollte, durch Angriffsmaßnahmen die Cybersicherheit zu schwächen, anstatt sich vor allem auf die Stärkung sicherer und verbraucherfreundlicher Computersysteme im globalen Datennetz zu konzentrieren.

Zur Person

Die Experten

Vor dem Hintergrund von Datenklau und Datenschutz beleuchten sie im WESER-KURIER alle zwei Wochen Themen der digitalen Welt. Der Weyher Dennis-Kenji Kipker (32) ist unter anderem als Vorstandsmitglied bei der Europäischen Akademie für Informationsfreiheit und Datenschutz tätig, der Stuhrer Volljurist Sven Venzke-Caprarese (40) arbeitet als Prokurist und Justiziar bei dem Bremer Unternehmen Datenschutz Nord.