Sowohl für Bundeswehr als auch für Geheimdienste: „Hackback“ verstößt gegen geltendes Recht

Was in der Politik mit dem Begriff „Hackback“ umschrieben wird, meint einen digitalen Angriff, den man als eine Art Vergeltung ausführt. Im Deutschen wäre vielleicht „zurückhacken“ eine passende Übersetzung. Es geht dabei nicht mehr nur um die Verteidigung der eigenen Systeme, sondern darum, fremde Computersysteme anzugreifen – außerhalb des deutschen Territoriums. Ein Gutachten der Wissenschaftliche Dienste des Deutschen Bundestags kommt zu dem Schluss, dass ein solches „Hackback“ verfassungswidrig ist.

Ob offensive Angriffe neben den defensiven Maßnahmen im Internet erlaubt und Behörden zum Zurückhacken befähigt werden sollen, wird bereits einige Zeit diskutiert. Für die Idee des „Hackbacks“ gibt es politische Fürsprecher bei den Geheimdiensten, allen voran der Chef des Inlandsgeheimdienstes Hans-Georg Maaßen sowie dessen Amtskollege Bruno Kahl vom Bundesnachrichtendienst (BND). Maaßens Behörde, das Bundesamt für Verfassungsschutz, ist für die Spionageabwehr zuständig und angesichts des Bundestagshacks und des Ende Februar 2018 bekanntgewordenen Angriffs auf die Regierungsnetze nicht eben mit Fortune geschlagen.

Dennoch fordert Maaßen die Möglichkeit des „Hackbacks“. Kahl gab ebenfalls zu Protokoll, sein Geheimdienst stünde vorbehaltlich der Befugnisse bereit. Unterstützung erhalten Maaßen und Kahl bei dem Ansinnen auch von Burkhard Lischka (SPD), der sich für solche aktiven „Hackbacks“ einsetzt.

Die Logik dahinter geht davon aus, dass Cyber-Angriffe von außen nicht nur abgewehrt werden müssen, sondern dass die Verursacher und deren Systeme aktiv angegriffen werden sollen. Manchmal findet man den Euphemismus „aktive Abwehr“ für solche Vorhaben. Er führt allerdings in die Irre, da mit einem „Hackback“ ganz klar ein offensiver Angriff gemeint ist, der eben nicht mit der Abwehr gleichzusetzen ist.

Wie man einen Angreifer jedoch sicher ausmacht, steht auf einem anderen Blatt. Denn die Attribution von Angreifern ist eine ausgesprochen schwere Aufgabe. Einzelne Computersysteme auszumachen, die bei einem Angriff mitwirken, ist jedoch im Einzelfall möglich. Diese Computer sollen beispielsweise das Ziel der Gegenangriffe sein. Ob und welche „Kollateralschäden“ man damit allerdings in Kauf nimmt und ob man tatsächlich den Angreifer oder aber Unbeteiligte in fremden Staaten erwischt, ist Teil des Problems. Es drohe beispielsweise auch die „Gefahr von Gegenmaßnahmen oder einer ungewollten Eskalation“, wie die Bundestagsgutachter feststellen.

Dass solche „Hackbacks“ zumindest bei der Bundeswehr ernsthaft vorbereitet werden, zeigt die Ausrichtung des Aufbaustabs „Cyber- und Informationsraum“ und auch die Maßnahmen des Verteidigungsministeriums, das an der Bundeswehr-Universität einen Master-Studiengang „Cyber Security Studies“ für siebzig Studenten pro Jahr startete.

Das „Zurückhacken“ im Auge der Gutachter

Ein aktuelles Gutachten der Wissenschaftlichen Dienste des Deutschen Bundestags, das wir veröffentlichen, nimmt nun eine rechtliche Bewertung solcher Maßnahmen vor. Die Gutachter betonen, dass die Verfassungsmäßigkeit eines „Hackbacks“ in jedem Einzelfall zu prüfen sei. Dennoch analysieren sie die Rechtslage dahingehend, ob überhaupt diese Form eines Gegenangriffs im Rahmen des geltenden Rechts möglich wäre.

Beim „Zurückhacken“ betrachten die Gutachter diese Maßnahmen unabhängig davon, wer der Ausführende ist. Denn egal, ob eine Bundeswehreinheit oder ein Geheimdienst einen solchen Angriff vornimmt, beide müssten sich am Völkerrecht und am Grundgesetz orientieren. Gegen das „Gewaltverbot“ verstießen beide Stellen, was immer einer Rechtfertigung bedarf.

Allerdings sehen die Gutachter beim derzeit geltenden Recht keine Möglichkeit, dass die Geheimdienste bei den „Hackbacks“ mitmischen:

Kampfhandlungen im Rahmen internationaler Konflikte dürfen jedoch auch im Bereich der Cybermaßnahmen nach der derzeitigen Rechtslage nur durch Kombattanten, also Mitglieder der Streitkräfte, ausgeführt werden. Folglich ist nur die Bundeswehr zu entsprechenden Cybermaßnahmen befugt.

Neben dem Völkerrecht ist im Grundgesetz der Artikel 26, Absatz 1 einschlägig. Da man mit diesem Teil des Grundgesetzes nicht gerade oft in Kontakt kommt, geben wir seinen Inhalt hier nochmal wieder:

Handlungen, die geeignet sind und in der Absicht vorgenommen werden, das friedliche Zusammenleben der Völker zu stören, insbesondere die Führung eines Angriffskrieges vorzubereiten, sind verfassungswidrig. Sie sind unter Strafe zu stellen.

Nicht nur sind die genannten Handlungen und damit auch schwerwiegende Angriffe auf ausländische Server verboten, sondern sie werden auch bestraft. Das würde sowohl für die Bundeswehr als auch für Geheimdienste gelten. Die Wissenschaftler betonen, dass der Artikel 26 auch auf digitale Angriffe anzuwenden sei:

Auch Cyberangriffe müssen grundsätzlich im Einklang mit dem in Art. 26 Abs. 1 GG verankerten Verbot friedensstörender Handlungen stehen.

Trotzdem eine Erlaubnis zu aktiven Cyber-Angriffen schaffen?

Ob die Bundesregierung nach Lektüre des Gutachtens ihre Position überdenkt, ist ungewiss. Auch wenn es klarstellt, dass „auch Cyberangriffe eine Verletzung des völkerrechtlichen Gewaltverbots“ sind, stellte sich die Regierung bisher auf den Standpunkt, dass keine speziellen Rechtsgrundlagen geschaffen werden müssen, wenn staatliche Stellen zum „Hackback“ schreiten und offensive Cyber-Angriffe durchführen. Ganz praktisch wären das etwa das Sabotieren von Servern und Infrastrukturen, die man Angreifern zuordnet, oder das Löschen von Daten auf fremden Systemen, die man für eine Gefahr hält.

Das Gutachten kommt zur rechten Zeit, denn von ihrer bisherigen Position rückt die Bundesregierung aktuell ab, wie aus einer aktuellen Antwort auf eine parlamentarische Antwort hervorgeht (pdf):

Derzeit prüft die Bundesregierung möglichen Rechtssetzungsbedarf in Bezug auf Maßnahmen der zivilen aktiven Cyberabwehr, dazu gehören völker‑, verfassungs- und einfachrechtliche Fragestellungen. Die Bundesregierung geht von einem Abschluss der Prüfungen in der 19. Legislaturperiode aus.

Hier findet sich wieder der Euphemismus von der „aktiven Cyberabwehr“, der in Wahrheit jedoch einen Angriff meint. Das bedeutet also, dass das Innenministerium einen Gesetzesvorschlag für die Erlaubnis zu aktiven Cyber-Angriffen bereits erwägt. Der Staatssekretär im Bundesinnenministerium, Klaus Vitt, hatte das vor einigen Tagen bereits indirekt angekündigt und erklärt, erneut die rechtlichen Bedingungen prüfen zu wollen, unter denen aktive IT-Angriffe vollzogen werden können. Vitt betonte allerdings, bei den Gegenschlägen wolle man unterhalb der Schwelle von militärischen Angriffen bleiben.

Dieser Spagat wird nicht einfach werden, vor allem dann nicht, wenn ein „Hackback“ zu physischen Schäden führt. Denn die Gutachter des Bundestags stellen fest:

Cybermaßnahmen sind insbesondere dann mit militärischer Gewalt gleichzusetzen, wenn sie physische Zerstörungen von einem erheblichen Umfang verursachen.

Allzu viele Einblicke in die Details der geplanten „Cyberoperationen“ gibt die Bundesregierung in ihrer Antwort allerdings nicht, denn wie immer sind große Teile der Maßnahmen unter dem Siegel der Geheimhaltung. Selbst wenn also ein „Hackback“ trotz des deutlich kritischen Gutachtens der Bundestags-Wissenschaftler ermöglicht wird, dürfte die Öffentlichkeit von den Hacking-Operationen nicht viel erfahren – sofern sie überhaupt rechtlich möglich wären.