Cybersicherheit: Nun will auch Nancy Faeser zurückhacken lassen

Bundesinnenministerin Nancy Faeser will dem Bund bei der Cybersicherheit mehr Kompetenz geben und dafür das Grundgesetz ändern. "Wir wollen die Abwehr stärken und dabei den Bund in eine führende Rolle bringen", sagte die SPD-Politikerin dem RedaktionsNetzwerk Deutschland. Sie wolle noch in diesem Jahr einen entsprechenden Vorschlag machen und darüber auch schnell mit der Union sprechen.

Die Union wird dabei gern zuhören, hat sie doch viele Jahre lang ähnliche Pläne gehegt, die jedoch bislang an den fehlenden Mehrheiten gescheitert waren.

Hiesige Behörden gehen angesichts des Krieges in der Ukraine derzeit von einer erhöhten Gefahr für Cyberangriffe aus, auch wenn bislang in Deutschland keine staatlichen Attacken auf die kritische Infrastruktur beobachtet werden konnten.

Bisher sei Gefahrenabwehr überwiegend Ländersache, sagte Faeser. Komplexen und länderübergreifenden Gefahren durch Cyberattacken könne aber nur der Bund effektiv etwas entgegensetzen. Diese Rolle solle in der Verfassung festgeschrieben werden.

Hackback

Was erst einmal plausibel klingt, birgt erhebliche Risiken. Vor allem ein Nachsatz von Faeser deutet auf die möglichen Probleme und Gefahren hin: Man müsse auch über "aktive Maßnahmen nachdenken", die über die Aufklärung eines Angriffs hinausgingen, sagte Faeser demnach. Man brauche Möglichkeiten, auf angreifende Systeme einzuwirken, um andauernde Attacken zu beenden und neue zu verhindern. Ähnliches hatte sie vor Kurzem auch im Spiegel geäußert.

An diesem Konzept des sogenannten Hackback, des Zurückhackens, wird im Bundesinnenministerium seit Jahren gearbeitet. Bereits unter der Bundesregierung von Angela Merkel gab es Überlegungen, dafür das Grundgesetz zu ändern und Bundesbehörden entsprechende Befugnisse zu geben. Die Pläne waren jedoch aufgrund der fehlenden Mehrheiten im Parlament aufgegeben worden. Nun scheinen sie wieder diskutiert zu werden, wie Faesers Aussage zeigt.

Die Idee: Angreifer, die durch Datenleitungen kommen, sollen durch deutsche Behördenhacker attackiert werden, um die gegnerischen Systeme zu infiltrieren und sie auszuschalten. Im Bundesinnenministerium wird dieses Konzept "aktive Cyberabwehr" genannt, ein Euphemismus für Gegenangriff. Sicherheitsforscher aber halten von dieser Idee nichts.

Echte Verteidigung wäre besser

"Das bloße Ausschalten oder Löschen gegnerischer Angriffssysteme bringt, abseits von kurzfristigen taktischen Effekten, langfristig wenig", sagte beispielsweise Matthias Schulze, Cybersicherheitsexperte der Stiftung für Wissenschaft und Politik (SWP) dem Sender SWR. Das habe damit zu tun, dass das Kosten-Nutzen-Verhältnis den Angreifer bevorteile. Das Ausspähen und Ausschalten einer Angriffsinfrastruktur sind aufwendig und dauern Zeit. Die Gegner hingegen können ihre Infrastruktur, über die sie ihre Angriffe verteilen, schnell auf andere Server und andere Botnetze verlagern. Noch dazu, wenn sie mit Gegenangriffen gerechnet und solche Ausweichstrukturen schon vorbereitet haben.

Ein Beispiel für dieses Problem sind die Angriffe krimineller Banden mit sogenannter Ransomware, mit Erpressungssoftware, die Computer lahmlegt. FBI und Europol haben in der Vergangenheit schon mehrfach die technische Infrastruktur solcher Banden infiltriert und ausgeschaltet. Das aber behindert die Täter nur für kurze Zeit – bis sie neue Verteilerwege aufgebaut haben.

Um mit einem Cyberangriff echten Schaden zu verursachen, müssen sich die Täter außerdem lange vorher in die Systeme eingraben und deren Strukturen und Schwachstellen erforschen. Theoretisch also haben die Verteidiger viel Zeit, sie dabei zu finden und ihnen den Zugang zu verwehren. Sicherheitsbehörden gehen daher fest davon aus, dass sich fremde Geheimdienste beispielsweise aus Russland längst Zugang zu kritischen Infrastrukturen verschafft haben und nur darauf warten, loszuschlagen.

Im Koalitionsvertrag war Hackback ausgeschlossen worden

Seit langer Zeit plädieren IT-Experten daher dafür, vor allem die Sicherheit der eigenen Systeme zu stärken, also alle Maßnahmen, die einen Angriff erkennen und erschweren können. Langfristig verspricht das mehr Erfolg. Und es reduziert die Gefahr, dass solche Cyberattacken zu einem Krieg eskalieren, bei dem es viele zivile Kollateralschäden geben könnte. 

Auch im Koalitionsvertrag waren solche Pläne ausdrücklich ausgeschlossen worden. "Hackbacks lehnen wir als Mittel der Cyberabwehr grundsätzlich ab", heißt es darin auf Seite 13.

Für eine Änderung des Grundgesetzes ist im Bundestag eine Zwei-Drittel-Mehrheit nötig. Die Regierungskoalition allein hat dafür nicht genug Stimmen, aber die der Union zu bekommen, dürfte nicht allzu schwer sein. Auch der Bundesrat müsste zustimmen. Aus den Ländern gebe es aber "positive Signale für dieses Vorhaben", sagte Faeser.