Im Cyber-Space gibt es keine Sicherheit. Das politische Ziel heißt daher Risikominimierung anstatt Sicherheit. Durch das Tempo der technischen Entwicklungen bleiben die politischen Akteure Getriebene. International werden die Komplexität des Themas und divergierende Interessen die Regulierung der Cyber-Sicherheit verhindern. Nichtsdestotrotz sollte deutsche Cyber-Außenpolitik das Thema in UN auf die Tagesordnung bringen und in Brüssel genauer hinschauen.
Nur sicherer
Die goldene Regel für Sicherheitspolitik im Cyber-Space ist, dass alles knack-, manipulier- und überwachbar ist. Cyber-Sicherheitspolitik kann damit nie den Anspruch erheben, dass Umfeld sicher, sondern nur sicherer zu machen. Eine Politik, die etwas anderes verspricht, geht schlicht an der Realität vorbei, sei es aus Unwissen, Kalkül oder Ideologie. Gleiches gilt für Unternehmen. So sind alle Smart Phones durch den Download von Apps extrem anfällig für Malware. Ein Problem, dass altertümliche Handys nicht kennen.
Trotz der theoretischen Unsicherheit, bleibt für das Individuum die Frage, bin ich ein Ziel. Der einfache Internutzer dürfte nicht zum Ziel einer speziell gegen ihn gerichteten Cyber-Attacke werden, allein weil sich die Aufwand nicht lohnt, sondern bleibt nur von Datenspionage und Viren betroffen. Bei der Frage nach gezielten Angriffen (z. Bsp.: Stuxnet) sind vor allem Staaten interessant, denn solche Aktionen benötigen eine längere Vorbereitungszeit und entsprechende Mittel, die nicht-staatlichen Akteuren meistens fehlen.
Getriebene Politik
Sicherheit im Cyber-Space kann die Politik, egal in welchem Staat oder auf welcher Ebene nicht herstellen. Es geht also nicht darum die elektronische Infrastruktur und ihre Nutzung sicher, sondern sicherer zu machen. Im Grunde geht es demnach nicht um Sicherheitspolitik, sondern um Risikominimierungspolitik. Eine solche Politik, die proaktiven Charakter beansprucht, versucht demnach die Eintrittswahrscheinlichkeit eines Schadens zu verringern.
Das ist allerdings, hier auf Deutschland bezogen, bei weitem nicht so einfach, wie es sich anhört. Alleine aufgrund des schnellen Tempos des technischen Fortschritts können die deutschen, bisweilen sehr langsamen politischen Prozesse mit der Entwicklung gar nicht Schritt halten. Die Erfolgsaussichten einer proaktiven Risikominimierungspolitik sind damit ziemlich gering. Bis ein wie auch immer Cyber-Sicherheit betreffendes Gesetz in Deutschland durchdiskutiert, vom Bundestag (und Bundesrat) beschlossen und den Gerichten bestätigt wurde, vergehen Jahre. Dann ist die technische Realität der politischen wieder weit voraus. Dazu gesellt sich das Problem das mangelnden technischen Sachverstandes und des Verständnisses der Materie „Cyber“ in der politischen Klasse; häufig in der älteren Generation, die noch mit dem grünen Telefon der Bundespost aufgewachsen ist. Nun kommt das Argument, Politiker brauchen das technische Fachwissen nicht, das wird ihnen von Ministerien und Referenten zugearbeitet. Soweit so gut, aber gerade im Bereich der Cyber-Sicherheit verlagert sich extrem viel Sachverstand Bereiche außerhalb der Politik wie Unternehmen, NGOs und Aktivisten. Es ist schon schwer genug, dass dieses technische Fachwissen seinen Weg in die politischen Prozesse findet und selbst wenn es tatsächlich oben ankommt, heißt das noch lange nicht, dass sich die Entscheidungsträger danach richten. Steht die Expertenmeinung im Widerspruch zur jeweiligen Parteiprogrammatik, zur Ideologie oder passt sie nicht ins politische Kalkül, dann werden Entscheidungen eben ohne Berücksichtigung oder gegen das Fachwissen gefällt. Welcher Politiker gibt denn gerne zu, dass seine vorher vertretende Position von Expertenwissen widerlegt wurde, damit also falsch war? Kaum einer.
Nach dem Amoklauf von Norwegen zeigte sich erneut, wie sehr die Politik von den Entwicklungen im Bereich des Cyber-Space getrieben ist. Aus der Union kam sofort der laute Ruf nach der Vorratsdatenspeicherung. Sigmar Gabriel will mehr Überwachung im Internet. Dabei geht es natürlich zuerst darum, den Vorwurf der Untätigkeit zu vermeiden und den Bürgern das Gefühl zu geben, die Politik könnte deren Sicherheit gewährleisten. Kann sie nicht. Die Politik staatlicher Cyber-Sicherheitsrisikominimierung hat aufgrund ihrer systembedingten Langsamkeit geringe Erfolgsaussicht. Jeder potenzielle „Gegner“ kann und wird Debatten und Gesetzgebungsverfahren mitverfolgen, weiß also was auf ihn zukommt und kann sich entsprechend vorbereiten. Tritt das entsprechende Gesetz also in Kraft, haben sich genau diejenigen, gegen die es sich richtet, bereits seiner Wirkung entzogen.
Zur Idee des Non-Proliferationsvertrags für Cyber-Waffen
Eine Idee, die zur Risikominimierung im Umlauf ist, ist ein Non-Proliferationsvertrag für Cyber-Waffen. Dies ist allerdings ein absolut unrealistischer Vorschlag. Die Zahl der Beteiligten ist zu groß. Nicht-nur müssten alle Staaten der Welt, sondern dazu auch zivile Akteure unter einen gemeinsamen Hut gebracht werden. Alleine die Zahl der Akteure mit ihren unterschiedlichen Interessen machen solche Vertragsverhandlungen zu einem aussichtslosen Unterfangen. In der UN stand das Thema Cyber bis heute noch nicht auf der Tagesordnung. Genau da würde es aber für den Versuch einen solchen Vertrag zu schaffen hingehören.
Darüber hinaus müssten sich alle Beteiligten darauf einigen, was überhaupt Cyber-Waffen sind. Gerade die unterschiedlichen Interessen der USA, Russlands und China im Cyber-Space machen diese Sache jedoch aussichtslos und ohne die Staaten wäre jedweder Vertrag nichts wert. In den Verhandlungen darüber, was Cyber-Waffen sind, würde es natürlich zur Freigabe von Know-How kommen. Die Bereitschaft der drei genannten Staaten wie auch diverser anderer Staaten oder nicht-staatlicher Akteure dazu dürfte gering sein. Sollte trotzdem ein völkerrechtlicher Vertrag von Regierungen ausgehandelt werden, bleibt da immer noch die Frage der Ratifizierung in den Staaten. Gerade der US-Senat, der völkerrechtliche Verträge mit 2/3 Mehrheit billigen muss, hat sich hier in der Vergangenheit immer wieder als strukturelle Hürde erwiesen. Im UN-Rahmen erwiese sich wohl eine Resolution in der Generalversammlung als vergleichsweise „leichter“, wobei die eine rein politische Erklärung ist, die angesichts der Staaten entsprechend weichgespült sein dürfte. Außerdem würden sich weder China noch die USA von UN-Generalversammlungsresolutionen von ihren Aktivitäten im Cyber-Space einschränken lassen, sondern einfach weiter tun und lassen, was sie wollen.
Träte so ein Cyber-Non-Proliferationsvertrag doch in Kraft, würde dessen Wirkung vom ersten Tag an in der Realität scheitern. Die Datenschwarzmärkte des Internets, auf denn auch Cyber-Waffen gehandelt werden, würden sich von einem solchen Abkommen nicht beeindrucken lassen.
Eine internationale Cyber-Sicherheitsagentur?
Ein anderer Vorschlag, der kursiert, ist eine internationale Cyber-Sicherheitsagentur. Auch diese Idee ist unrealistisch. Das schlagende Argument ist hier die Freigabe von Know-How. Damit so eine Agentur in welcher Form auch immer aktiv werden könnte, müsste sie von Staaten (und Unternehmen) mit entsprechendem Wissen ausgestatten werden. Kaum jemand wird aber seine Kronjuwelen preisgeben wollen. Dazu kommen die üblichen politischen Fragen: Wo wird die Agentur angesiedelt? Wer ist beteiligt? Welche Aufgaben und Kompetenzen hat die Agentur? Wer Kontrolliert den Laden? Und am Schluss zum Schluss mit der Personalpolitik das wichtigste: Wer leitet die Agentur und wer sitzt mit welchen Kompetenzen auf welchem Stuhl? Angesichts eines so hoch sensiblen Themas wie Cyber-Sicherheit ist es unwahrscheinlich, dass sich die Staaten der Welt in diesen Fragen einig werden könnten. Man stelle sich die Reaktionen in den USA vor, wenn der Leiter dieser Agentur ein Chinese wäre.
Deutsche Cyber-Außenpolitik
In der politischen Abteilung des Auswärtigen Amtes gibt es mittlerweile einen Koordinationsstab für Cyber-Außenpolitik. Definitiv eine gute Einrichtung. Stellt sich die Frage, was deutsche Cyber-Außenpolitik sein und wo sie hinführen sollte. Da Deutschland aktuell ja im Sicherheitsrat sitzt, läge es nahe, dass Thema in die UN einzuführen. Auch wenn die Erfolgsaussichten hin zu einem Vertrag oder eine substanziellen GV-Resolution gering sind, wäre es gut, wenn das Thema dort auf der Tagesordnung eingeführt wurde. Zwei weitere Herausforderungen deutscher Cyber-Außenpolitik liegen in Brüssel. Zum einen muss darauf geachtet werden, dass NATO und EU im Cyber-Sicherheitsbereich nicht aneinander vorbei arbeiten. Andererseits müssen die Datensammlungsprojekte der EU sehr genau im Auge behalten werden. Mit INDECT ist in der EU ein Überwachungsprojekt auf dem Weg, das die Bundesregierung zum Schutz ihres Souveräns nicht aus den Augen verlieren darf. Und hier könnte die Regierung auch proaktiv etwas tun.
Dieser Artikel basiert auf der Cyber-Sicherheitskonferenz des Bundesverbandes Sicherheitspolitik an Hochschulen vom 28-31.07 in Berlin.
0 Kommentare:
Kommentar veröffentlichen