Cyberwar: Der endlose Krieg

Das folgende leicht gekürzte Kapitel „Der endlose Krieg“ ist aus dem Buch „Cyberwar. Die Gefahr aus dem Netz“ von Constanze Kurz und Frank Rieger, mit freundlicher Genehmigung des Verlags C. Bertelsmann und der Autoren.
Frank Rieger ist Hacker und zuweilen auf Twitter aktiv. Über das Buch hat er bei Logbuch:Netzpolitik ausführlich gesprochen.

Schon während des Kalten Krieges, in dem eine offene militärische Auseinandersetzung zwischen der Sowjetunion und den Vereinigten Staaten durch das Nuklearwaffenarsenal der beiden Supermächte zum Ende der Menschheit geführt hätte, etablierte sich eine Vielzahl von Konfliktvarianten, die unterhalb der Schwelle eines großen, offen erklärten Krieges geführt wurden.

Der »endlose Krieg« kann als eine Fortsetzung der »Konflikte niedriger Intensität«, der Guerilla- und Stellvertreterkriege des Kalten Krieges, verstanden werden, bei denen die Großmächte ihren Zwist austrugen, ohne dafür ihre Atomwaffen einzusetzen. Dabei ist es heute zwar nicht mehr so offenkundig wie zu Zeiten des Kalten Krieges, dass es sich um Stellvertreterkriege handelt. Doch dass strategische geopolitische Interessen der Großmächte diese bewaffneten Konflikte bestimmen, daran hat sich wenig geändert. Viele der Paramilitärs und Terrorgruppen, gegen die heute gekämpft wird, sind aus Organisationen entstanden, die zuvor vom einen oder anderen Block politisch und finanziell unterstützt worden sind. Ihre Waffen erhalten sie ohnehin von diesen Staaten, die zugleich auch die größten Waffenexporteure sind und an jedem der »endlosen Kriege« verdienen.

Die unübersichtliche Struktur solcher Stellvertreterkriege mit Dutzenden Gruppen, die abwechselnd verfeindet oder alliiert sind oder schlicht für den höchsten Bieter kämpfen, entspricht der Situation in Cyberkonflikten. Für welche Mächte oder Investoren eine Gruppe gerade agiert, ist oft nicht ohne Weiteres zu erkennen. Die wechselseitige Wiederverwendung von Malware-Komponenten und die Leichtigkeit, mit der geographische Grenzen ignoriert werden können, führen zu einer Gemengelage, die dem der Schlachtfelder des »endlosen Krieges« in nichts nachsteht.

Die Mittel in diesen neuen Kriegen sind oft getarnt operierende Spezialkräfte, wachsende Privatarmeen aus Söldnern, Drohnen sowie die Versorgung temporärer Verbündeter mit Waffen, Ausbildung und Geheimdienstinformationen. Es ist auch zu befürchten, dass in diesen Konflikten künftig die bereits heute angebotenen autonomen Waffensysteme stärker zum Einsatz kommen. Da Methoden der künstlichen Intelligenz und immer umfangreichere Auswertungen und Berechnungen aus Sensordaten in Kampfsysteme einfließen und ihre Kampfkraft sogar definieren, sind Digitalwaffen schon längst ein integraler Bestandteil der Arsenale. Früher verwirrte man den Radar des Gegners, störte seinen Funkverkehr, narrte ihn durch gefälschte Funksprüche und Navigationssignale. Heute kommt der Angriff auf seine digitalen Kommunikationsnetze dazu, die computerisierten Einsatzführungssysteme, das Hacken der privaten Telefone der Soldaten und das Abgreifen der Daten ihrer Fitnesstracker. Und auch die zivilen Netze, die Wirtschaft und die Gesellschaft an sich sind zum Schlachtfeld geworden.

Ein wesentliches Kennzeichen dieser neuen Konflikte ist ihre Vergeheimdienstlichung. Deutlich wurde dies zuerst an den Drohnenkriegen der Vereinigten Staaten, die operativ über einen langen Zeitraum und bis heute von einem Geheimdienst, der CIA, dominiert wurden. Die praktisch nahtlose Integration von Kommunikationsüberwachung, Satellitenbildern, klassischer Spionage, Desinformations- und psychologischen Operationen, Informationen, die aus Digitalgeräten von Gefangenen extrahiert werden, drohnengestützten Raketeneinsätzen und Spezialkräfte-Operationen sowie der ökonomischen Manipulation mit Bombenangriffen hat den klassischen Frontalkrieg mit dem massiven Einsatz von Bodentruppen faktisch bereits abgelöst.

Im »U.S. Army Concept for Cyberspace and Electronic Warfare Operations« aus dem Jahr 2018 wird dieses Zusammenwachsen von militärischen und geheimdienstlichen Mitteln als explizite Strategie vorgeschlagen. Die elektronischen Möglichkeiten, auch in Offensivoperationen, sollen künftig noch stärker und in allen militärischen Feldern miteinander verwachsen.

Cyberoperationen fügen sich also nahtlos in diesen schmutzigen, nicht deklarierten Konfliktmodus ein. Sie haben den Vorteil, im Zweifelsfall die eigene Schuld abstreiten zu können, und ermöglichen Attacken gegen zivile Infrastruktur, die schwer von technischem Versagen zu unterscheiden sind. Informationen, die aus gehackten Netzen und Geräten extrahiert wurden, lassen nicht nur die exakte Ortung von Angriffszielen, etwa für Drohnen, zu, sie sind auch ideales Futter für Desinformations- und Diskreditierungskampagnen.

Das grundlegende Problem dieser Art der Kriegführung ist, dass das wichtigste Element jeder militärischen Strategie verloren geht: ein klares Ziel der Operation. In der Regel gibt es kein definiertes Ende, keinen Friedensschluss, keine Nachkriegsordnung, keine Kodifizierung der entstandenen Machtverschiebungen. Oft genug werden Operationen auch nur durchgeführt, um die Konsequenzen und Nebenwirkungen vorangegangener Einsätze zu adressieren. Das funktioniert ähnlich wie bei der Mafia: Sobald ein Mord angeordnet und durchgeführt wird, zieht das eine endlose Kette von Folgen nach sich: Vertuschung, Ruhigstellung von Zeugen und Mitwissern, Bestechung oder Erpressung von Ermittlungsbeamten und Blutrache. Denn einen Konflikt anzufangen ist bekanntlich sehr viel einfacher, als ihn zu beenden.

Es gibt keine Cyberabschreckung

Diese unerklärten, irregulären Kriege sind das tatsächliche strategische Paradigma für Cyberkonflikte. Mit der statischen, überschaubaren Welt der nuklearen Abschreckung, von deren Wiederbelebung etliche Strategen, insbesondere aus den Vereinigten Staaten, träumen, hat die Kriegführung im Cyberspace nur wenig gemein. »Frieden durch überlegene Feuerkraft«, so lautet das inoffizielle Motto des US-Militärs. Was für die Vereinigten Staaten im Bereich der konventionellen und nuklearen Waffen lange gut funktioniert hat, soll auch im Cyberbereich gelten. Wenn man nur genügend übermächtige Offensivkapazitäten hat, so die These, werde es sich der Feind zweimal überlegen, bevor er einen Angriff wagt.

Vor diesem Hintergrund kann man auch die faktische Bestätigung der US-amerikanischen Regierung interpretieren, dass der Stuxnet-Angriff gegen den Iran unter anderem von den Vereinigten Staaten ausging. Stuxnet, die hoch entwickelte mehrstufige Angriffssoftware, die im Jahr 2010 entdeckt worden war, sollte ein Industriesteuerungssystem der Firma Siemens sabotieren und dadurch die iranische Urananreicherung behindern. Jahre später räumte der damalige US-Präsident Barack Obama indirekt ein, dass der Angriff eine gemeinsame Geheimdienstoperation seines Landes mit Israel gewesen war. Ein Bericht der »New York Times« hatte zuvor die amerikanische Regierung als Auftraggeber der Stuxnet-Waffe offengelegt. Er blieb unwidersprochen.

Ein Kernproblem der Abschreckungstheorie ist, dass die offensiven Digitalkapazitäten und -fähigkeiten dem Gegner zwangsläufig unbekannt sind. Anders als noch im Kalten Krieg, können dem Gegner im digitalen Bereich nicht einfach die eigenen Waffen vorgeführt werden. Für die atomare Abschreckung war die erfolgreiche Demonstration einer funktionsfähigen Nuklearwaffe eine Grundvoraussetzung. Das Cyber-Äquivalent eines Atombombentests, so die Logik der Cyber-Abschreckungstheoretiker, müsste die gleiche Wirkung auf potenzielle Gegner haben.

Stuxnet war eine technisch und organisatorisch beeindruckende, zuvor noch nicht gesehene Demonstration von fortgeschrittenen digitalen Offensivfähigkeiten. Nachdem der Angriff ohnehin enttarnt worden war, lohnte es aus strategischer Perspektive durchaus, erst durch Gerüchte und später durch ausbleibende Dementis zuzugeben, dass die Vereinigten Staaten und Israel dahintersteckten. Erst mit dieser Attribuierung wurde Stuxnet rückblickend zu einem Wendepunkt in der Geschichte digitaler Angriffe. Dass mit der Schadsoftware eine Industrieanlage erfolgreich zerstört werden konnte, bewies die reale physische Gefahr, die von Cyberwaffen ausgehen kann.

Stuxnet war de facto ein Blick in den Waffenschrank, das neuzeitliche Äquivalent zu einem Atomwaffentest oder zum Auffahren einer neuen Interkontinentalrakete auf einer Militärparade. Jeder Gegner konnte sehen, in welche Liga die US-amerikanischen Cyberfähigkeiten aufgestiegen sind, mit welch enormem Aufwand, mit welchem Nachdruck und welch hoher Komplexität der Angriff betrieben wurde – und wie erfolgreich er letztlich war. In der Theorie der Cyberabschreckung hätte das dazu führen sollen, dass niemand es wagen würde, US-Interessen mit digitalen Waffen zu attackieren. Doch in der Praxis bewirkte Stuxnet genau das Gegenteil.

Es geschah, wovor weitsichtigere Beobachter lange gewarnt hatten: Stuxnet wurde allgemein als Signal interpretiert, dass es jetzt üblich, angemessen und akzeptiert sei, mit Cybermitteln verdeckte Angriffe gegen andere Staaten zu führen. Jeder Staat, der zukünftig noch im geostrategischen Poker mitspielen will, hat den Eindruck gewonnen, eigene Offensivkapazitäten aufbauen zu müssen. Die Abschreckungstheorie ist ad absurdum geführt.

Abschreckung bedeutet im Kern, dass das Wissen um die Gegenschlagsfähigkeit eines Kontrahenten einen selbst davon abhält loszuschlagen. Wenn man nun aber nicht weiß, woher ein Angriff kam oder dies nur anhand von Indizien vermuten kann, ist die Wahrscheinlichkeit hoch, dass ein Gegenschlag den Falschen trifft und damit nicht nur gänzlich ins Leere geht, sondern schlimmstenfalls einen weiteren Gegner auf den Plan ruft, der sich als bislang Unbeteiligter nun provoziert fühlt. Und sobald ein Angreifer damit rechnen kann, dass er unerkannt bleibt – insbesondere, wenn er falsche Fährten legt –, wird er sich schwerlich von noch so grandiosen Offensivkapazitäten abschrecken lassen.

Interessanterweise wird genau dieses Problem von den Geheimdiensten als Argument benutzt, ihre weltweiten Überwachungssysteme weiter auszubauen. Eine funktionierende Abschreckung oder zumindest qualifizierte Gegenschläge würden erst dann wieder möglich, wenn man das ganze Internet überwachte und so den Ursprung jedes Angriffs nachvollziehen könnte. Der fundamentale Denkfehler dabei ist, dass man selbst dann, wenn man etwa den Server findet, von dem eine Malware per E-Mail versendet worden ist, immer noch nicht sicher weiß, wer diesen Server wirklich kontrolliert. Wer am Ende vor der Tastatur sitzt und in welchem Auftrag und mit welcher Intention er handelt, bleibt unsicher. Ein Angreifer, der die umfänglichen Überwachungskapazitäten natürlich kennt, kann sie umgehen oder benutzen, um falsche Spuren zu legen. Mehrere Jahre voller Veröffentlichungen aus den Geheimdienstdokumenten von Edward Snowden waren auch für all jene augenöffnend, die eine Attribuierung ihrer Angriffe vermeiden wollen. Die Risiken von Cyberangriffen nach Snowden noch als Begründung für mehr Überwachung zu benutzen, ist eine mehr als durchsichtige Ausrede.

Politik, Militär, Geheimdienste: Die schwer überschaubare Gemengelage

Obwohl seit Stuxnet klar ist, dass das Abschreckungsparadigma aus dem Kalten Krieg im Cyberbereich nicht funktioniert, hält insbesondere eine Fraktion der US-Strategen weiter daran fest. Die Realität sieht jedoch längst anders aus: Der »endlose Krieg« mit seinem massiven Einsatz geheimdienstlicher Mittel, seiner Regellosigkeit und der Abwesenheit eines klar definierten strategischen Ziels bestimmt die Auseinandersetzung zwischen den Mächten.

Militärisches Denken dreht sich um sogenannte Doktrinen und Einsatzregeln. Darin ist niedergelegt, wie Operationen durchgeführt werden, unter welchen Umständen welche Mittel eingesetzt werden dürfen, wie die Zusammenarbeit der verschiedenen Teilstreitkräfte auszusehen hat und welche Kollateralschäden riskiert werden können. Üblicherweise werden einige Punkte solcher Doktrinen öffentlich gemacht, auch um potenzielle Gegner wissen zu lassen, welche roten Linien sie besser nicht überschreiten sollten. Öffentliche und tatsächliche Doktrinen unterscheiden sich natürlich, man will schließlich nicht alle Karten auf den Tisch legen.

Im Cyberbereich sind solche Regeln nicht so einfach zu formulieren. Auch weil derzeit eigentlich niemand bereit ist, sich an irgendwelche Regeln zu halten. In der NATO läuft schon seit Jahren ein Diskussionsprozess unter dem Namen »Tallinn Manual«, bei dem versucht wird, die verschiedenen praktischen und völkerrechtlichen Aspekte des Cyberkriegs definitorisch zu erfassen, um die Grundlage für eine »Cyber-Doktrin« zu schaffen. Dabei hat sich jedoch herausgestellt, dass bei zentralen Fragen nicht nur die Meinungen der NATO-Partner weit auseinanderklaffen, sondern dass auch innerhalb der Mitgliedsstaaten die Interessenkonflikte zwischen Politik, Militär und Geheimdiensten zu einer schwer überschaubaren Gemengelage führen.

Ein einfaches Beispiel für diese andauernde Diskussion ist die Frage, ob Zugänge in den Systemen eines potentiellen Gegners, die von einem Geheimdienst für Spionagezwecke erhackt worden sind, im Falle einer Auseinandersetzung vom Militär genutzt werden können, um aktive Schadensoperationen durchzuführen. In den Vereinigten Staaten wurde nach einigem Hin und Her versucht, dieses Problem durch die Etablierung des US Cyber Command zu lösen, einer Zwitterkonstruktion aus NSA und Militär. Der Chef der NSA ist gleichzeitig auch der Chef der militärischen Cyber-Teilstreitkraft mit Weisungsbefugnis für beide Bereiche. Dies zementiert de facto die seit Längerem festzustellende Vergeheimdienstlichung von Konflikten auch auf organisatorischer Ebene: Die Trennung zwischen Informationsbeschaffung durch die Geheimdienste einerseits und Angriffe oder Schadenserzeugung durch das Militär andererseits ist nicht mehr nur fließend, sondern faktisch aufgehoben.

Die Taktik, sich prophylaktisch Zugänge in die Systeme potentieller Gegner zu verschaffen, ob nun durch Hintertüren oder durch Hacking-Operationen, ist ein wichtiger Baustein in den strategischen Überlegungen der einzelnen Akteure. Im Jargon der Cyberkrieger heißt das »Positionen einnehmen«. Je gründlicher die Netze und Geräte eines potentiellen Gegners infiltriert sind, je umfangreicher die Sektoren von Wirtschaft und Gesellschaft sind, in denen man im Ernstfall erhebliche Schäden anrichten kann, desto stärker ist die eigene Position.

Das Problem dabei: Man kann seine Positionen natürlich nicht zu Abschreckungszwecken offenlegen, nicht einmal abstrakt. Wenn der Gegner weiß, wo er ungefähr suchen muss, wird er die Malware auch finden und entfernen. Jede Verwendung von Angriffswerkzeugen, jedes Ausnutzen einer »Position« birgt das Risiko der Entdeckung. Deshalb konzentrieren sich viele Militärs außerhalb von aktiven Kriegsgebieten – in denen andere Prinzipien gelten – vor allem darauf, ein möglichst aktuelles und detailliertes Bild von den Netzen und den verwendeten Komponenten und Softwareversionen in den IT-Systemen des Gegners zu haben. Ausgehend von diesen Informationen aktualisieren sie dann fortlaufend ihren Bestand an Angriffswerkzeugen, um im Ernstfall rasch und effektiv zuschlagen zu können.

Die Geheimdienste spielen ein deutlich opportunistischeres Spiel. Ihre primären Ziele sind die Beschaffung von Informationen und die Beeinflussung des Gegners. Dazu versuchen sie, in möglichst viele Systeme einzudringen, die direkt oder indirekt nützlich sind oder werden könnten. Welche das genau sind, hängt von den politischen Aufgabenstellungen der Geheimdienste ab, aber auch davon, welche Angriffswerkzeuge ihnen zur Verfügung stehen. Wenn man gerade einen schönen, gut funktionierenden Exploit gegen ein beliebtes Betriebssystem hat, kann man ihn ja auch verwenden, um schon mal prophylaktisch »Positionen einzunehmen«. Vielleicht werden die sich dann bei späteren Operationen als nützlich erweisen.

Dabei kommt es unweigerlich zu tiefen Expeditionen ins Spiegelkabinett der Ungewissheit. Nicht selten stellt sich heraus, dass auf einem gerade erst gehackten System schon eine andere Gruppe aktiv ist. Dabei kann es sich um einen APT-Trojaner von kriminellen Gruppen, um einen befreundeten oder gegnerischen Geheimdienst oder sogar um eine andere Abteilung des eigenen Dienstes handeln. Bei der Analyse der im Rahmen des »ShadowBrokers«-Leaks veröffentlichten NSA-Einbruchswerkzeuge fand sich unter anderem ein Werkzeug namens »Territorial Dispute« (»Gebietsstreitigkeit«). Der Name des Programms ist nicht etwa ein misslungener Sprachwitz von Geheimdienstlern, sondern die traurige Realität in den Gefilden des Cyberwar.

»Territorial Dispute« sucht auf dem System, in das man eingebrochen ist, nach Anzeichen für andere ungebetene Gäste. Wenn solche Indikatoren gefunden werden, gibt das Programm dem NSA-Operator Hinweise, was zu tun ist. Diese reichen von »Sofort zurückziehen« über »Befreundeter Dienst« bis zu »Sofort Hilfe holen«, also jemanden hinzuziehen, der nicht nur Anwender der Einbruchswerkzeuge ist, sondern sich wirklich damit auskennt. Der Grund für diese Hinweise ist klar: Man will vermeiden, dass eigene oder befreundete Operationen gestört werden oder dass die wertvollen Angriffswerkzeuge in die Hände eines anderen Akteurs fallen.

Interessant dabei ist, dass die NSA offenbar über Kenntnisse zu APT-Trojanern verfügt, die deutlich über das öffentlich bekannte Wissen hinausgehen. Die überprüften »Indicators of Compromise« (Indikatoren für ein kompromittiertes System, kurz IoC) – etwa das Vorhandensein von Dateien mit bestimmten Namen, die charakteristisch für eine spezifische Malware sind – wurden absichtlich eher simpel gehalten, um auch gegenüber den eigenen Leuten, die »Territorial Dispute« verwenden, nicht allzu viel von diesem Wissen preiszugeben.

Die Analyse der Software zeigt zum einen, dass die NSA eine strenge Informationshierarchie betreibt. Sogar die Operatoren, die Angriffe mit Hilfe der Einbruchswerkzeugkästen durchführen, sollen möglichst wenig Details kennen. Zum anderen wird klar, dass man unter allen Umständen vermeiden will, dass eigene Operationen entdeckt werden. Die Geheimdienste verzichten lieber darauf, ein interessantes System unter ihre Kontrolle zu bringen, als aufzufliegen und dabei dem Gegner zu offenbaren, wie man vorgeht. Denn dadurch könnten sie deutlich mehr Positionen verlieren.

Natürlich werden die Gegner der NSA nun das Wissen über »Territorial Dispute« benutzen, um das System auszutricksen. Durch die Simulation von Indikatoren, auf die »Territorial Dispute« reagiert, etwa spezifische Dateinamen auf möglicherweise interessanten Systemen, kann einerseits Fehlalarm ausgelöst und damit der NSA-Operator zum Rückzug bewegt werden. Andererseits kann durch Veränderung von bekannten Malware-Dateinamen die Entdeckung vermieden werden. Die NSA wiederum wird eine neue Version von »Territorial Dispute« entwickeln, die andere Indikatoren benutzt, um nicht an der Nase herumgeführt zu werden. So dreht sich das Rad immer weiter, immer schneller.

Dieser kleine Einblick in die Cyberscharmützel, die bereits heute stattfinden, ohne dass man darüber viel erfährt, macht deutlich, wie komplex und unvorhersehbar die Gemengelage geworden ist. Auf solch einer schwankenden Basis eine rationale Strategie für digitale Offensivoperationen zu entwickeln, ist sehr schwierig bis unmöglich. Schon weil die Unterscheidung von Freund und Feind nicht immer eindeutig ist: etwa wenn die NSA befreundete Länder infiltriert oder eine deutsche Behörde bei den Amerikanern nachfragt, ob sie eine bestimmte Malware kennen, ohne zu ahnen, dass diese eigentlich von der NSA oder CIA selbst stammt.