Premiere: EU verhängt zum ersten Mal Sanktionen wegen Cyberangriffen

Der Rat der Europäischen Union hat heute beschlossen, restriktive Maßnahmen gegen sechs Personen und drei Einrichtungen zu verhängen, die nach Ansicht des Rates für verschiedene Cyberangriffe verantwortlich sind oder daran beteiligt waren. Dazu gehören der versuchte Cyberangriff auf die Organisation für das Verbot chemischer Waffen (OVCW) sowie die als „WannaCry“, „NotPetya“ und „Operation Cloud Hopper“ bekannten Angriffe. Heute hat die EU dieses Instrument zum ersten Mal genutzt.

Laut Pressemitteilung des Rates bestehen die Sanktionen unter anderem in einem Reiseverbot und im Einfrieren von Vermögenswerten. Darüber verbietet die Maßnahme Personen und Einrichtungen aus der EU, den gelisteten Personen und Einrichtungen finanzielle Mittel zur Verfügung zu stellen.

In der Liste der Sanktionen werden die Zuordnungen zu den jeweiligen Angriffen begründet. Im Dokument befinden sich sechs Personen, darunter zwei Chinesen und vier Russen. Außerdem listet die EU drei juristische Personen, denen sie Angriffe zuschreibt:

1. Tianjin Huaying Haitai Science and Technology Development Co. Ltd aus China, das die EU mit „Cloud Hopper“ in Verbindung bringt. Die Operation Cloud Hopper richtete sich gegen Konzerne, unter anderem auch in der Europäischen Union.
2. Chosun Expo aus Nordkorea wegen „WannaCry“ und Angriffen auf die polnische Finanzaufsicht und gegen Sony Pictures Entertainment sowie
3. Main Centre for Special Technologies (GTsST) of the Main Directorate of the General Staff of the Armed Forces of the Russian Federation wegen „NotPetya“ und „EternalPetya“, mit dem das ukrainische Energienetz angegriffen wurde, Daten von europäischen Unternehmen mittels Ransomware verschlüsselt worden seien und dadurch ein großer ökonomischer Schaden entstanden sei.

Die Sanktionen sind ein neues Instrumentarium, der Rechtsrahmen für restriktive Maßnahmen gegen Cyberangriffe wurde erst im Mai 2019 angenommen und vor kurzem erneuert. Die EU will mit diesen Instrumenten „böswillige Cyberaktivitäten“, die sich gegen die Europäische Union oder ihre Mitgliedstaaten richten, verhindern, davor abschrecken oder darauf reagieren.

Laut des Rates sollen die restriktive Maßnahmen eine abschreckende Wirkung haben, sie seien von der Feststellung der Verantwortung eines Drittstaats zu unterscheiden.