Frage: Vorbemerkung der Fragesteller
Um ein hohes Cybersicherheitsniveau in Deutschland zu erreichen, ist laut Cybersicherheitsstrategie des Bundesministeriums des Innern, für Bau und Heimat von 2021 eine „aktive Positionierung Deutschlands in der europäischen und internationalen Cybersicherheitspolitik“ notwendig. Aufgrund der grenzübergreifenden Natur des Cyberraums ist der Schutz desselben eine Aufgabe, die nur international, insbesondere gemeinsam in der Europäischen Union, gestemmt werden kann (www.bmi.bund.de/SharedDocs/downloads/DE/ve roeffentlichungen/2021/09/cybersicherheitsstrategie-2021.pdf?blob=publicatio nFile&v=2, S. 7 und S. 119).
Der Cyber- und Informationsraum ist für die Bundeswehr – abgestimmt mit den Verbündeten in der NATO – zu einer neuen Dimension der Verteidigung neben Land, Luft einschließlich Weltraum und See geworden (www.bmvg.de/ de/themen/cybersicherheit/cyber-verteidigung). Die Bundeswehr ist in dieser Dimension für gegnerische Akteure ein Hochwertziel, dessen Systeme durch das Kommando Cyber- und Informationsraum (KdoCIR) als dafür neu gegründetem militärischen Organisationsbereich daher in vollem Umfang zu schützen sind (www.bundeswehr.de/de/organisation/cyber-und-informationsra um/auftrag).
Andere Staaten bauen ihre offensiven Fähigkeiten im Cyberraum kontinuierlich aus und setzen diese in militärischen Konflikten ein. Russlands Angriffskrieg gegen die Ukraine begann etwa mit einem breiten Cyberangriff auf ein Satellitennetzwerk, sodass Gefechtsstände, aber auch zivile Einrichtungen in der Ukraine nicht mehr mit dem Internet verbunden und damit nur noch eingeschränkt kommunizieren konnten oder gar ihre Funktionsfähigkeit nicht mehr gegeben war (www.stern.de/digital/online/attacken-auf-satelliten--russland-fu ehrt-den-krieg-auch-im-all-31853446.html).
Auch Verbündete der Bundesrepublik Deutschland etablieren Strukturen für offensive Operationen im Cyberraum. So wird die United States Army im Jahr 2023 eine Stabsstelle gründen, die explizit dafür vorgesehen ist, die offensiven Kapazitäten im Cyber- und Weltraum zu koordinieren (www.thedefensepos t.com/2022/09/01/us-army-offensive-cyber-office/). Dies trage dem Umstand Rechnung, dass die Bedeutung des Cyberraums für die Verteidigungspolitik stetig wachse und die Anforderungen an offensive Cyberoperationen mit ihnen. Frankreich beschreibt in seiner militärischen Cyberdoktrin gar, dass die
Fähigkeit, offensive Militäroperationen im Cyberspace durchzuführen, ein Bestandteil sei, um nationale Souveränität zu gewährleisten (http://lignesdedefen se.blogs.ouest-france.fr/files/Éléments%20publics%20de%20doctrine%20mili taire%20de%20lutte%20informatique%20offensive%20%20.pdf).
Darüber hinaus haben die Europäische Kommission und der Hohe Vertreter der EU für Außen- und Sicherheitspolitik am 10. November 2022 eine EU-Politik für die Cyberabwehr vorgelegt. Das Dokument verfolgt das Ziel, die Bürgerinnen und Bürger der EU, aber auch die Streitkräfte der Mitgliedstaaten vor Cyberbedrohungen zu schützen. Die Koordinierung und Zusammenarbeit der Mitgliedstaaten im Bereich der Cyberabwehrfähigkeiten soll auf Basis der Vorschläge der Kommission intensiviert werden (https://germany.representatio n.ec.europa.eu/news/europaische-verteidigung-starken-eu-vorschlage-zur-cyb erabwehr-2022-11-10_de).
Die Europäische Kommission fordert die Mitgliedstaaten der EU in ihrem Dokument explizit dazu auf, auch aktive Verteidigungskapazitäten im Cyberraum zu etablieren und die Bereitschaft zu signalisieren, diese auch als Reaktion auf einen Cyberangriff auf einen Mitgliedstaat einzusetzen. Zusätzlich wird zur Entwicklung der Fähigkeiten eine Kofinanzierung über den Europäischen Verteidigungsfonds in Aussicht gestellt www.eeas.europa.eu/sites/default/files/do cuments/Comm_cyber%20defence.pdf, S. 1 und S. 14).
Eine gemeinsame öffentliche Position der aktuellen Bundesregierung zu aktiven Cybermaßnahmen und Cyberinstrumenten ist dagegen nicht bekannt. Gleichzeitig fordert die Bundesregierung jedoch, die Bundeswehr müsse als Akteur im Cyber- und Informationsraum erfolgreich bestehen können – ohne zu sagen, welche Instrumente der Bundeswehr dafür rechtlich und technisch zur Verfügung stehen sollen (www.bundesregierung.de/resource/blob/974430/ 1990812/04221173eef9a6720059cc353d759a2b/2021-12-10-koav2021-data.p df?download=1, S. 149).
Vor dem Hintergrund der dargestellten Lage ist es für die Fragesteller von Interesse, wie sich die Bundesregierung und die Bundeswehr im Bereich Cyber- und Informationsraum auf die aktuellen Herausforderungen vorbereiten und wie sie zur kürzlich vorgestellten EU-Mitteilung zur Cyberverteidigung vom 10. November 2022 stehen.
Antwort: Vorbemerkung der Bundesregierung
In den vergangenen Jahren beobachtete die Bundesregierung trotz aller Bemühungen im Bereich der Cybersicherheit eine steigende Zahl erfolgreicher Cyberangriffe (bspw. Ransomware) mit Schäden in Milliardenhöhe. Die Cyberangriffe Russlands im Zusammenhang mit dem völkerrechtswidrigen Angriffskrieg gegen die Ukraine zeigen, dass der Cyberraum gezielt zur Vorbereitung und Begleitung von Konflikten genutzt wird. Hier bleiben die Angriffe und deren Effekte auch nicht auf das Gebiet des unmittelbaren Konfliktes beschränkt.
Deshalb dürften allein präventive Schutzmaßnahmen unzureichend sein, um erfolgreiche Cyberangriffe bzw. deren Schadenswirkung zu verhindern.
Zunehmend bestätigt hat sich auch, dass innere und äußere Sicherheit im Cyberraum nicht mehr trennscharf voneinander abzugrenzen sind. Die Wahrung der Cybersicherheit und die Verteidigung gegen Cyberangriffe sind daher eine gesamtstaatliche Aufgabe, die in enger Zusammenarbeit der zuständigen Stellen zu bewältigen ist.
Bereits in der „Cybersicherheitsstrategie für Deutschland 2016“ wurden die Cyberabwehr (in Federführung des Bundesministeriums des Innern und für Heimat – BMI), die Cyber-Außen/-Sicherheitspolitik (in Federführung des Auswärtiges Amts – AA) sowie die Cyberverteidigung (Bundesministerium der Verteidigung – BMVg) als drei sich ergänzende Mittel zum Erreichen von ge-
samtstaatlicher Cybersicherheit festgehalten. Dieser Grundsatz wurde auch in der „Cybersicherheitsstrategie für Deutschland 2021“ beibehalten.
Cyberabwehr bezieht sich auf die zivile Abwehr aller Formen vorsätzlicher Handlungen, deren Ziel es ist, die Verfügbarkeit, Integrität und Vertraulichkeit von informationstechnischen Systemen mit informationstechnischen Mitteln zu manipulieren, zu beeinflussen oder zu stören und die keinen „bewaffneten Angriff“ im Sinne von Artikel 51 VN-Charta darstellen.
Eine – aktive – Maßnahme der Cyberabwehr, mit dem Ziel, die zum Angriff genutzten informationstechnischen Systeme mit informationstechnischen Mitteln zu manipulieren oder zu stören, bezeichnet die Bundesregierung als „aktive Cyberabwehr“.
Cyberverteidigung umfasst die in der Bundeswehr für die Erfüllung ihres verfassungsgemäßen Auftrages vorhandenen Fähigkeiten. Dies beinhaltet die aktive Verteidigung im Cyberraum durch die Streitkräfte ebenso wie die Schutzmaßnahmen für die im Geschäftsbereich BMVg genutzten Systeme. Die Verteidigungsfähigkeit der Bundeswehr erfordert jedoch auch ein hohes Maß an Resilienz staatlicher Institutionen und Kritischer Infrastrukturen. Cyberabwehrmaßnahmen der Behörden und Schutzmaßnahmen der Betreiber von IT-Systemen sind dabei zentrale Mittel zur Erhöhung der Resilienz.
Von den oben genannten Begriffs- und Zuständigkeitsdefinitionen ist der englische Begriff „Cyber Defense“ abzugrenzen, der auf internationaler Ebene insbesondere in Dokumenten der Vereinten Nationen, der OSZE, der Europäischen Union und der NATO verwendet wird. Dieser Begriff berücksichtigt bspw. nicht die verfassungsrechtlichen Rahmenbedingungen und Zuständigkeiten in Deutschland, so dass eine eindeutige Zuordnung der im englischen und im Deutschen genutzten Begriffe nicht allgemeingültig möglich ist. Der Begriff ist daher im Kontext des Einzelfalls zu deuten, um entscheiden zu können, ob und in welcher Schwerpunktsetzung die Mittel Cyberabwehr und Cyberverteidigung einzusetzen sind.
Die Antworten auf die Fragen folgen der oben aufgezeigten Begriffsdefinition.
Insbesondere Fragen nach Maßnahmen, Perspektiven, Absichten und Fähigkeiten des BMVg und der Bundeswehr wurden hierbei im Sinne des Begriffs Cyberverteidigung beantwortet.