SCHRIFTLICHE ANFRAGE P-0780/03

von Elly Plooij-van Gorsel (ELDR) an die Kommission

(7. März 2003)

Betrifft: Befugnisse von Präsident Bush zu Cyber-Angriffen

Bis vor kurzem wurde eventuellen Cyber-Angriffen und deren Folgen nur geringe Beachtung geschenkt. So wurde in Europa auch vom Europäischen Parlament die Hauptverantwortung für Computeranfälligkeit auf die Industrie und die Organisationen selbst gelegt. Seit den terroristischen Anschlägen in den Vereinigten Staaten vom 11. September 2001 und den anhaltenden Warnungen vor möglichen Cyber-Angriffen hat das Interesse für Cybersicherheit stark zugenommen.

Dabei müssen wir nicht nur Schäden durch Cyber-Angriffe durch den Irak oder islamistische Gruppierungen wie Unix Security Guards of Anti-India Crew befürchten. Im Kampf gegen Internet-Terrorismus hat Präsident Bush vor einem halben Jahr ein Sondergesetz unterzeichnet, das es ihm ermöglicht, selbst Cyber-Angriffe durchzuführen. Diese Angriffe brauchen nicht allein gegen den Irak gerichtet zu sein, sondern können auch das gesamte Funktionieren des World-Wide-Web betreffen. Mit anderen Worten: Bush kann das Netz vollständig lahm legen, wenn er es will. Man geht davon aus, dass nur Ziele, die militärisch relevant sind, angegriffen werden dürfen. Das große Problem mit On-line-Angriffen ist, dass viel Kollateralschaden angerichtet werden kann. Durch die starke Verknüpfung des Internets können auch andere Länder und Unternehmen von einer solchen Maßnahme stark in Mitleidenschaft gezogen werden. Ein Denial-of-Service-Angriff, ein klassisches Mittel, um ein Netz auszuschalten, hat auch Folgen für die Netze, die zwischen dem Angreifer und dem Ziel liegen.

1. Ist der Kommission dieses neue Gesetz bekannt, das Präsident Bush die Befugnis gibt, Cyber-Angriffe durchzuführen, und wenn ja, was hält die Kommission davon?

2. Wie gedenkt die Kommission, die europäischen Bürger und Unternehmen gegen solche Angriffe und deren Folgen zu beschützen?

3. Wer sollte nach Auffassung der Kommission für den Schaden aufkommen, den solche Angriffe mit sich bringen können, und wie kann dieser Schaden wieder gutgemacht werden?

Antwort von Herrn Liikanen im Namen der Kommission

(7. April 2003)

Der Kommission ist ein Artikel in der Washington Post vom 7. Februar 2003 bekannt, in dem behauptet wird, dass Präsident Bush Beamten der Vereinigten Staaten zufolge im Juli 2002 eine geheime Verordnung (die so genannte National Security Presidential Directive 16) erlassen hat. Nach Angaben der Washington Post wird die Verwaltung in den Vereinigten Staaten mit dieser Verordnung angewiesen, nationale Leitlinien zu entwickeln, nach denen bestimmt werden kann, wann und wie die Vereinigten Staaten Cyber-Angriffe gegen feindliche Computernetze starten könnten. Militärstrategen sollen die Befürchtung haben, dass sich Computerfachleute in feindliche elektronische Netze einnisten, um z.B. Radarsysteme auszuschalten, elektrische Anlagen auszuschalten oder Telefondienste zu unterbrechen.

Der Kommission ist keine Veröffentlichung oder offizielle Bestätigung dieser Verordnung durch die Regierung der Vereinigten Staaten bekannt.

Maßnahmen im Bereich der Verteidigung gegen Cyber-Angriffe beinhalten Elemente, die auch bei der Förderung der Computer- und Netzsicherheit und bei der Bekämpfung von Computerkriminalität von Bedeutung sind, und die Kommission hat sich sehr aktiv mit der Entwicklung entsprechender Maßnahmen beschäftigt.

Die Kommission hat am 26. Januar 2001 eine Mitteilung zur zur Schaffung einer sichereren Informationsgesellschaft durch Verbesserung der Sicherheit von Informationsinfrastrukturen und Bekämpfung der Computerkriminalität(1) veröffentlicht, in der die Bedeutung der Informations- und Kommunikationsinfrastrukturen einschließlich des Internet als kritische Bestandteile ihrer Volkswirtschaften anerkannt wird, und schlägt bestimmte Maßnahmen vor.

Wie in der Mitteilung empfohlen, hat die Kommission am 19. April 2002 einen Vorschlag für einen Rahmenbeschluss des Rates über Angriffe auf Informationssysteme(2) angenommen. Nach diesem Vorschlag sind die Mitgliedstaaten verpflichtet, in ihrem jeweiligen nationalen Recht die Straftatbestände Illegaler Zugriff auf Informationssysteme sowie Illegale Störung von Informationssystemen aufzunehmen. Außerdem enthält der Vorschlag Bestimmungen zu Strafen, Regeln für die Haftung juristischer Personen und entsprechende Sanktionen und Bestimmungen zur Rechtsprechung sowie die Verpflichtung für die Mitgliedstaaten, sich dem bestehenden Kontaktnetz für High-tech-Kriminalität anzuschlließen, das an sieben Tagen pro Woche rund um die Uhr zugänglich ist. Das Parlament hat seine Stellungnahme zu dem Entwurf des Rahmenbeschlusses im Oktober 2002(3) vorgelegt, und der Rat erzielte am 28. Februar 2003 politische Übereinstimmung über den Text der wesentlichen Artikel.

Der Aktionsplan eEurope 2005 zielt darauf ab, die Sicherheitsdienste zu fördern und so zur Sicherung der Informationsinfrastruktur beizutragen. Auch frühere Aktionspläne eEurope haben sich bereits schwerpunktmäßig auf die Verbesserung der Computer- und Netzsicherheit konzentriert.

Im Februar 2003 hat die Kommission eine europäische Agentur zur Erhöhung der Netz- und Informationssicherheit(4) vorgeschlagen. Diese Agentur soll als Kompetenzzentrum fungieren, in dem sich die Mitgliedstaaten und die Kommission in Fragen der Computer- und Netzsicherheit beraten lassen können. Außerdem wird die Agentur Behörden der Mitgliedstaaten einschließlich der verschiedenen CERTs (Computer Emergency Response Teams = Zentren für sichere Netzdienste) unterstützen.

Ferner hat die Kommission soeben das 6. Rahmenprogramm für Forschung und technologische Entwicklung (FTE) aufgelegt, in dem F & E zu Technologien im Bereich der Sicherheit und der Zuverlässigkeit der betreffenden Systeme ein Schlüsselelement der Priorität Technologien der Informationsgesellschaft (IST) darstellen. Auch im 5. Rahmenprogramm wurde Sicherheitstechnologien und der Zuverlässigkeit der Informationsinfrastruktur einschließlich der Erforschung wechselseitiger Abhängigkeiten große Bedeutung beigemessen.

In den meisten Fällen können Angreifer bei den meisten Angriffen gegen Informationssysteme in den Mitgliedstaaten zivil- und strafrechtlich zur Verantwortung gezogen werden. Nach der Umsetzung des Rahmenbeschlusses zu Angriffen gegen Informationssysteme werden in allen Mitgliedstaaten die als Straftaten zu ahndenden Angriffe u.a. auf die Lahmlegung von Servern durch gezielte Überlastung (Denial-of-service-Angriffe, DoS-Angriffe) ausgeweitet.

Bei Handlungen die von einem fremden Staat oder im Interesse eines fremden Staates ausgeführt werden (einschließlich kriegerischer Handlungen) kann sich die Frage stellen, ob der betreffende Staat in Verbindung mit diesen Handlungen als Staat Immunität vor der Rechtsprechung der Gerichtshöfe sonstiger Staaten genießen würde. Eine Antwort auf diese Frage würde jedoch vom jeweiligen Stand des internationalen Rechts in diesem sich entwickelnden Bereich sowie von den jeweiligen Umständen der betreffenden Handlung abhängen.

(1) KOM(2000) 890 endg.

(2) ABl. C 203 E vom 27.8.2002.

(3) A5-0328/2002 endg.

(4) KOM(2003) 63 endg.