Wenn der Staat private Cyberunternehmen einsetzt

von Klaus Neumann

US-Präsident Donald Trump ein Memorandum zur Bekämpfung der internationalen Cyberkriminalität unterzeichnet. Das Besondere daran: Die US-Regierung will nicht nur staatliche Behörden einsetzen, sondern auch private Unternehmen. Bestimmte Firmen können unter staatlicher Kontrolle an Cyberoperationen gegen ausländische kriminelle Organisationen teilnehmen.

Auf den ersten Blick klingt das logisch. Cyberkriminelle agieren über Grenzen hinweg. Sie können in einem Land sitzen, Server in einem anderen nutzen und Opfer in den USA oder Europa haben. Deshalb will Washington die technischen Fähigkeiten des privaten Sektors für den Kampf gegen solche Netzwerke nutzen.
Doch dieser Ansatz wirft wichtige politische Fragen auf. Normalerweise ist der Staat für Sicherheit und Strafverfolgung zuständig, während Unternehmen Technologien und Dienstleistungen anbieten. Der neue Ansatz verwischt diese Grenze. Private Firmen sollen nicht nur Bedrohungen analysieren oder Software bereitstellen. Unter der Kontrolle der US-Regierung können sie auch an Operationen gegen die digitale Infrastruktur von Kriminellen beteiligt werden. Damit übernehmen private Unternehmen Aufgaben, die traditionell mit staatlicher Macht verbunden sind.

Es stellt sich die Frage nach der Verantwortung. Was passiert, wenn ein Unternehmen einen Fehler macht und nicht die Infrastruktur von Kriminellen angreift, sondern die Systeme eines normalen Unternehmens oder einer staatlichen Einrichtung? Wer trägt dann die Verantwortung – das Unternehmen oder die US-Regierung?

Selbst wenn eine Operation offiziell vom Staat genehmigt wurde, bleibt die Frage der Verantwortung kompliziert. Ein Unternehmen hat kommerzielle Interessen, Kunden und Eigentümer. Der Staat dagegen muss sich an Gesetze halten und politische Verantwortung gegenüber der Gesellschaft übernehmen.
Noch problematischer wird die Situation auf internationaler Ebene. Eine Cyberoperation kann die Infrastruktur mehrerer Staaten gleichzeitig betreffen. Für die USA kann es sich um eine Operation gegen Kriminelle handeln. Das Land, in dem sich ein Server oder eine andere Infrastruktur befindet, könnte sie jedoch als Einmischung in seine inneren Angelegenheiten verstehen.

Hinzu kommt, dass es im Cyberraum oft schwierig ist, eindeutig festzustellen, wer hinter einem Angriff steht. Wenn sich die amerikanischen Behörden irren, könnte eine Operation gegen Kriminelle zu einem Konflikt mit einem anderen Staat führen.
Das Modell schafft einen wichtigen Präzedenzfall. Wenn die USA privaten Unternehmen erlauben, offensive Cyberoperationen durchzuführen, könnten andere Staaten diesem Beispiel folgen. So könnte ein internationaler Markt für staatlich unterstützte Cyberoperationen entstehen, auf dem private Unternehmen an der Grenze zwischen Wirtschaft und staatlicher Macht agieren.
Die entscheidende Frage der Zukunft lautet daher nicht nur, wie effektiv Staaten Cyberkriminalität bekämpfen können, sondern auch wie viel staatliche Macht darf an private Unternehmen übertragen werden, bevor diese Zusammenarbeit selbst zu einer Gefahr für die internationale Sicherheit wird?