„Cyber Storm“: Deutsche Behörden, USCYBERCOM, NSA und DHS trainieren Prävention und Abwehr von „Cyberangriffen“

Wieder haben deutsche Behörden an der wohl weltweit größten „Cyberübung“ teilgenommen. So steht es auf der Webseite des US-Ministeriums für Heimatschutz (DHS). Das DHS ist für die Planung und Durchführung des Manövers verantwortlich. „Cyber Storm IV“ endet dieses Jahr. Alle zivilen und militärischen US-Sicherheitsbehörden waren mit von der Partie, darunter auch das 2010 eingerichtete „Cyber Command“ (USCYBERCOM) sowie die Geheimdienste CIA und NSA.

Die „Cyber Storm“-Manöver werden seit 2006 abgehalten. Die erste Übung fand noch unter alleiniger Beteiligung von US-Behörden statt. 2008 versammelte „Cyberstorm II“ neben den USA auch Großbritannien, Australien, Kanada und Neuseeland. Die befreundeten Staaten sind auch Mitglieder des Geheimdienstnetzwerks „Five Eyes“, das vermutlich hinter weitgehenden, weltweiten digitalen Spähmaßnahmen steckt.

Für die internationale Vorbereitung von „Cyberstorm“ existieren multilaterale Netzwerke. Hierzu gehört die „Arbeitsgruppe EU-USA zum Thema Cybersicherheit und Cyberkriminalität“ sowie ein sogenanntes „EU-/US-Senior-Officials-Treffen“. An „Cyber Storm III“ nahm erstmals auch Deutschland teil, ebenfalls an Bord waren Frankreich, Ungarn, Italien, Niederlande und Schweden sowie zahlreiche mit IT-Sicherheit befassten Firmen (eine Liste aller damals Beteiligten findet sich im Abschlussbericht).

„Cyberstorm IV“ ist noch größer angelegt als seine drei Vorläufer: Die Übung begann bereits letztes Jahr und klappert zwischendurch etliche US-Bundestaaten ab. Das Finale namens „Evergreen“ war für diesen herbst angekündigt, offensichtlich aber ohne ausländische Beteiligung.

Welche deutschen Behörden bei „Cyberstorm IV“ mitmischen, geht aus den Dokumenten des US-Heimatschutzministeriums nicht hervor. Es dürfte sich aber wie bei „Cyberstorm III“ um das Bundesamt für Sicherheit in der Informationstechnik (BSI) handeln. Laut der Antwort auf eine Kleine Anfrage hatte das BSI vor drei Jahren bereits „25 Mitarbeiter“ abgestellt, ein Mitarbeiter sei sogar in der „zentralen Übungssteuerung in Den Haag“ eingesetzt gewesen. Welche Infrastruktur der niederländischen Hauptstadt eingebunden war, wird nicht mitgeteilt. Es könnte aber der Vorläufer des European Cybercrime Centre (EC3) bei EUROPOL gemeint sein. Dies würde auch erklären, auf welche Weise das Bundeskriminalamt (BKA) ebenfalls bei „Cyber Storm III“ mitmischte.

Laut der Bundesregierung hätten das BSI und das BKA nur an einem „Strang“ partizipiert, wo kein Militär anwesend war. Geübt wurde demnach mit dem US-Heimatschutzministerium. Australien, Italien, Kanada, Neuseeland und Großbritannien seien dabei als Beobachter aufgetreten. Jegliche Beteiligung des BSI und BKA an militärischen Aktivitäten wird abgestritten. Das ist jedoch Augenwischerei: Alle Erkenntnisse aus Teilbereichen des Manövers können auch geheimdienstlich oder militärisch genutzt werden.

Zu den Szenarien von „Cyber Storm“ gehören „cyberterroristische Anschläge“, über das Internet ausgeführte Angriffe auf kritische Infrastrukturen, „DDoS-Attacken“ sowie „politisch motivierte Cyberangriffe“. Es werden auch „Sicherheitsinjektionen“ mit Schadsoftware vorgenommen. Es kann angenommen werden, dass die Hersteller des kurz nach der Übung „Cyberstorm III“ auftauchenden Computerwurm „Stuxnet“ ebenfalls von derartigen Anstrengungen profitierten – jedenfalls wird vielfach eine teilweise Urheberschaft von US-Behörden vermutet. Selbst die Bundesregierung bestätigt, dass sich „Stuxnet“ durch „höchste Professionalität mit den notwendigen personellen und finanziellen Ressourcen“ auszeichne und vermutlich einen geheimdienstlichen Hintergrund hat.

Auch in Europa bzw. der Europäischen Union werden die Kapazitäten zur Zusammenarbeit bei „Cybersicherheitsvorfällen“ stetig vernetzt. Regelmässig werden entsprechende Übungen abgehalten. „BOT12“ simuliert Angriffe durch „Botnetze“, „Cyber Europe 2010“ und „Cyber Europe 2012“ versammelte unter anderem die Computer Notfallteams CERT aus den Mitgliedstaaten (hier der Abschlussbericht). Nächstes Jahr ist eine „Cyber Europe 2014“ geplant. Für die Planung und Organisation aller „Cyber Europe“ ist die Europäische Agentur für Netz- und Informationssicherheit (ENISA) verantwortlich, die von dem ehemaligen BSI-Chef Udo Helmbrecht geführt wird. Außerdem errichtet die EU ein „Advanced Cyber Defence Centre“ (ACDC), an dem auch die Fraunhofer Gesellschaft, EADS Cassidian sowie der Internet-Knotenpunkt DE-CIX beteiligt sind.