Berlin. In der Debatte um Hackerangriffe greifen Politiker gerne zu Kriegsrhetorik. Viel besser wäre es jedoch, eine Strategie zu entwickeln.

Wer verstehen will, welche Gefahren ein Präventivschlag birgt, muss zurückgehen in das Jahr 2009. Nach Afghanistan. Dort fällte der Bundeswehr-Oberst Georg Klein eine fatale Fehlentscheidung. Er gab den Befehl, zwei Tanklaster nahe des deutschen Lagers in Kundus zu bombardieren.

Der Soldat hatte Hinweise bekommen: Die Islamisten der Taliban hatten die Laster entführt, jetzt stecken sie im Schlamm auf einer Straße bei Kundus fest. Offenbar, so wird Klein informiert, sammeln sich Taliban, um die Lastzüge zu befreien. Greifen sie das deutsche Feldlager an?

Kriegsbeispiele als Argumente

Klein gab den Befehl zum Bombardement. Doch getötet wurden nicht vor allem bewaffnete Islamisten – sondern 100 Zivilisten. Dem Oberst lagen falsche Informationen vor. Das Beispiel ist drastisch. Politiker wie FDP-Fraktionsvize Stephan Thomae nutzen es dennoch als Argument gegen den sogenannten Hack back, das Zurückhacken des Staates, der digitale Gegenschlag und ein Präventivschlag zur Cyber-Gefahrenabwehr.

Nachdem zuletzt mutmaßlich russische Hacker mit ihrer Schadsoftware in das deutsche Außenministerium vorgedrungen waren, lebt die Debatte über die Cyberabwehr auf. Und das ist erst einmal verdammt wichtig.

weitere Videos

Denn auch der aktuelle Angriff auf das als sicher erklärte Regierungsnetz des Bundes belegt wieder einmal: Deutschland war bei der Abwehr von Cyberspionage und Cyberkriminalität lange naiv.

Die Bundeswehr baut Kapazitäten im Cyberbereich auf

Das hat sich geändert – zwar sehr spät, dafür jedoch entschieden. Der Bund hat ein eigenes Bundesamt für Sicherheit in der Informationstechnik aufgerüstet, es gibt ein Nationales Cyberabwehr-Zentrum, die Bundeswehr baut Kapazitäten im Cyberbereich auf, die Nachrichtendienste ebenfalls. Es ist nun wichtig, dass die Regierung Klarheit schafft: Wer ist bei der Cyberabwehr für was zuständig? Die Polizei, etwa das Bundeskriminalamt im Inland? Der Nachrichtendienst im Ausland? Die Bundeswehr?

Die Sicherheitsbehörden werben nun dafür, auch das Recht zu erhalten, Server von Hackergruppen im Ausland angreifen zu können: etwa um gestohlene Daten auf den Computern der Cyberspione zu löschen. Oder um die Technik von Hackern zu zerstören. Dieser „Hack back“ durch den Staat klingt verlockend.

Hackergruppen sind keine Armeen

Zum einen tötet ein Angriff auf einen Server des Gegners nicht – anders als die Bomben in Afghanistan können Cyberattacken so gesteuert werden, dass der Schaden kalkulierbar bleibt. Die Eskalation zwischen zwei Staaten ist beim Cyberangriff milder als beim Einmarsch mit Truppen. Zum anderen sind die Risiken für Geheimdienste geringer. Sie müssen Mitarbeiter gar nicht mehr ins Ausland schicken – und fürchten, dass sie als Agenten auffliegen.

weitere Videos

So weit, so simpel. Doch wer hinter den Vorhang blickt, entdeckt die Komplexität der Cybersicherheit. Hackergruppen sind keine Armeen. Sie schließen sich digital in weltweiten Netzwerken zusammen, sie wechseln ihre Identitäten, sie tarnen ihre Aktionen.

Es braucht keine Kriegsrhetorik

Wer von wo und über welche Computer angreift, ist für Sicherheitsbehörden meist nicht zurückverfolgbar. Zudem könnten Angreifer gezielt falsche Fährten legen – digital ist das besser möglich als auf Kriegsschauplätzen oder bei Einbrüchen in der Nachbarschaft. Die Gefahr ist groß, dass ein Cyberangriff der deutschen Sicherheitsbehörden Unschuldige trifft.

Wichtig ist nicht das Hochrüsten deutscher Nachrichtendienste oder der Bundeswehr. Es braucht keine Kriegsrhetorik. Es braucht eine kluge Strategie der Verteidigung. Wer seine Kraft für den Schutz von IT-Infrastruktur und Regierungsnetzen nutzt, bekämpft Cyberspionage am besten. Und ohne Kollateralschäden.