von Mark Holzberger
Die Zirkel, in denen Polizei und Geheimdienste (aber auch Militärs) sich bundes- bzw. europaweit treffen, um ihren Kampf gegen die „Cyberkriminalität“ zu koordinieren, sind (wieder einmal) unübersichtlich und intransparent.
Im Februar 2011 beschloss die Bundesregierung ihre „Cyber-Sicherheitsstrategie für Deutschland“. Diese will eine möglichst effektive Zusammenarbeit der Bundesbehörden unter Einbindung der Privatwirtschaft erreichen.[1] Hierfür wurden drei Modelle entwickelt: Erstens wurde im Mai 2011 auf ministerieller Ebene ein „Nationaler Cyber-Sicherheitsrat“ (NCSR) gebildet. Dieser soll „strukturelle“ Fragen erörtern und „präventive“ Instrumente bzw. zwischen Staat und Wirtschaft „übergreifende Politikansätze“ koordinieren. Die Leitung des NCSR obliegt der Beauftragten der Bundesregierung für Informationstechnik, der Staatssekretärin im Bundesinnenministerium (BMI), Cornelia Rogall-Grothe. Ähnlich wie im „Rat der IT-Beauftragten des Bundes“ sind am NCSR auch das Bundeskanzleramt sowie sieben weitere Bundesministerien beteiligt. (Auswärtiges Amt, Verteidigung, Justiz, Finanzen, Wirtschaft und Technologie sowie Bildung und Forschung) Hinzu kommen VertreterInnen der Länder. Die Wirtschaft ist lediglich „assoziiertes Mitglied“.
Zweitens hat auf Ebene der Bundesbehörden am 1. April 2011 das Nationale Cyber-Abwehrzentrum (NCA) seine Arbeit aufgenommen. Hier geht es um die „operative Zusammenarbeit staatlicher Stellen zur Koordinierung von Schutz- und Abwehrmaßnahmen gegen IT-Vorfälle“. Das NCA wird gesteuert durch sechs MitarbeiterInnen des (im Geschäftsbereich des BMI angesiedelten) Bundesamtes für Sicherheit in der Informationstechnik (BSI), zwei des Bundesamtes für Verfassungsschutz (BfV) sowie zwei des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe. Die Federführung liegt beim BSI. Weitere Teilnehmer am NCA sind das Bundeskriminalamt (BKA), die Bundespolizei (BPol), das Zollkriminalamt (ZKA), der Bundesnachrichtendienst (BND), die Bundeswehr sowie jene Stellen, die die Aufsicht über die Betreiber Kritischer Infrastrukturen führen (wie z.B. die Bundesnetzagentur). Operatives Ziel ist ein schneller und enger Informationsaustausch über technische Verwundbarkeiten, Angriffsformen und Täterbilder. Wie schon im Gemeinsamen Terrorismusabwehrzentrum (GTAZ) wird versucht, den Informationsaustausch im NCA im Rahmen der bestehenden gesetzlichen Vorschriften der beteiligten Behörden zu regeln (allenfalls ergänzt durch „Kooperationsvereinbarungen“).
Drittens wurde Ende März 2011 als einzige direkte Kooperationsplattform zwischen Sicherheitsbehörden und der Wirtschaft in diesem Kontext im Bundesministerium für Wirtschaft und Technologie die „Task Force IT-Sicherheit in der Wirtschaft“ eingerichtet. Beteiligt sind neben BSI und BfV elf Unternehmen bzw. Dachverbände (wie der Industrie- und Handelskammertag). Die Task Force soll insbesondere kleine und mittlere Unternehmen für das Thema IT-Sicherheit „sensibilisieren“.[2]
Drehscheibe BSI
Das NCA wird maßgeblich vom BSI koordiniert, das in Bonn (mit seinen ca. 500 MitarbeiterInnen) seit 20 Jahren als unabhängige Stelle für Fragen zur IT-Sicherheit fungiert. Seine Aufgaben sind: Information und Beratung; Entwicklung von IT-Sicherheitsanwendungen; sicherheitsrelevante Bewertung und Zertifizierung von IT-Systemen sowie Zulassung von IT-Systemen für die Verarbeitung geheimer Informationen.
Das BMI verfolgt seit langem das Ziel, das BSI zu einer mit Eingriffsbefugnissen ausgestatteten Sicherheitsbehörde auszubauen. Ein entsprechender Gesetzesvorschlag konnte in der letzten Wahlperiode aber noch einmal entschärft werden. Das BSI ist somit heute weder eine Strafverfolgungsbehörde noch ein Nachrichtendienst.[3] Gleichwohl darf man im Hinblick auf seine Kontakte zu den Geheimdiensten auf keine Zurückhaltung hoffen. Immerhin ging das BSI aus der dem BND unterstellten „Zentralstelle für das Chiffrierwesen“ hervor.[4]
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) erhielt seine prominente Rolle im NCA nicht zuletzt wegen seiner Erfahrungen beim Schutz Kritischer Infrastrukturen. Zudem verfügt das BBK über großes Know-how im Krisenmanagement und im Anlegen von Übungen. So koordinierte die zum BBK gehörende Lehreinheit VI der „Akademie für Krisenmanagement, Notfallplanung und Zivilschutz“ (AKNZ) in den letzten Jahren vier LÜKEX-Übungen (=Länder-übergreifendes Krisenmanagement-Exercise).[5] Die AKNZ geht von einem Konzept staatlicher Sicherheitsvorsorge aus, das auf einer engen Zusammenarbeit von Nachrichtendiensten, Polizei, Militär und Bevölkerungsschutz fußt. Insofern wundert es nicht, dass bei den LÜKEX-Übungen BKA und BPoL, Bundeswehr sowie BfV und BND mitagieren. Die für Ende November 2011 geplante zweitägige LÜKEX 2011 soll (unter Beteiligung der Krisenstäbe des BMI sowie der Länder) ein Krisenmanagement im Hinblick auf simulierte Angriffe auf IT-Infrastrukturen erproben.
Innerhalb des BSI wird die Abwehr von Cyberangriffen im Fachbereich 12 koordiniert. Hier befindet sich auch das „Computer Emergency Response Team“ (CERT) der Bundesverwaltung (www.cert-bund.de), eine „schnelle Eingreiftruppe“ zur Abwehr „besonderer Sicherheitslagen“ der IT-Infrastruktur des Bundes. Drehscheibe für seine nationale Vernetzung ist ein Verbund (www.cert-verbund.de), dem die CERTs Bayerns, Baden-Württembergs und Nordrhein-Westfalens, der Bundeswehr (CERTBw) sowie einiger Unternehmen angehören.[6] Auf EU-Ebene gibt es eine European Government CERTS Group (EGC), ein informeller Zusammenschluss staatlicher CERTs aus derzeit neun Mitgliedstaaten sowie Norwegens und der Schweiz (www.egc-group.org). Bis 2012 soll daraus eine formelle Einrichtung aller EU-Staaten werden. Global wiederum kooperieren staatliche und privatwirtschaftliche CERTs im 1989 gegründeten Forum of Incident Response and Security Teams (www.first.org). 18 deutsche CERTs sind daran beteiligt (u.a. CERT-Bund und CERT-Bw).
Das Gemeinsame Internetzentrum
2007 wurde das sog. Gemeinsame Internetzentrum (GIZ) gegründet. Dessen Aufgabe ist die Sichtung, Auswertung und Analyse islamistischer und jihadistischer Websites (und entsprechender Sozialer Netzwerke) mit Deutschlandbezug. Das GIZ wird betrieben durch das BKA, das BfV, den BND, den Militärischen Abschirmdienst und die Bundesanwaltschaft. Die Federführung liegt beim BfV. Derzeit arbeiten in dem Zentrum 51 MitarbeiterInnen (2007: 15) – rund drei Viertel kommen von BKA und BfV.
Das GIZ nimmt an den täglichen Lagebesprechungen des GTAZ teil. Dort erfolgt auch – anlassbezogen – der Datenaustausch zwischen den beiden Zentren. Die vom GIZ erstellten Berichte (sog. GIZ-LOG) gehen an alle beteiligten Behörden sowie zusätzlich an die BPol, das Zollkriminalamt, die Landeskriminalämter (LKÄ) und Landesämter für Verfassungsschutz (LfV), das Bundeskanzleramt, das Auswärtige Amt, das BMI, und die Ministerien für Justiz und Verteidigung. Dass der Schwerpunkt des GIZ weniger auf der unmittelbar operativen, als auf der strategischen Ebene liegt, lässt sich daraus ablesen, dass seine Berichte seit 2007 lediglich zur Einleitung von drei Ermittlungsverfahren führten.[7]
Der Bundesdatenschutzbeauftragte fordert, dass die Arbeit des GIZ – wie die anderer verdeckter Ermittler auch – endlich auf eine gesetzliche Grundlage gestellt werden müsse, insbesondere wenn diese beispielsweise in Newsgroups oder Chatrooms den Eindruck einer aktiven Unterstützung der jeweiligen Gruppierung erwecken und damit beim virtuellen Gegenüber schutzwürdiges Vertrauen in Anspruch nehmen würden.[8]
Die Auswertungsstellen der Bundesländer
Die meisten LKÄ haben schon seit längerem Zentralstellen zur sog. anlassunabhängigen Recherche in offen zugänglichen Websites – aber auch in Sozialen Netzwerken – eingerichtet.[9] Diese Dienststellen sind unterschiedlich groß (in NRW zehn, in Baden-Württemberg sogar 35 BeamtInnen). Ihre Arbeit wird bundesweit in der (2005 gegründeten) „Koordinierungsgruppe anlassunabhängige Recherche im Internet“ (KaRIn) koordiniert[10] und dort mit der Tätigkeit der Zentralstellen des Zolls[11] und des BKA abgeglichen. Beim BKA werden so (gem. § 2 BKA-Gesetz, § 113 Telekommunikationsgesetz sowie §§ 100g und 100h der Strafprozessordnung) über die jeweiligen Provider pro Jahr Bestands- und Verbindungsdaten zu ca. 700 strafrechtlich relevanten Sachverhalten gespeichert.[12] Inzwischen sind einige LKÄ (u.a. NRW, Baden-Württemberg, Sachsen-Anhalt und Brandenburg) dabei, ihre Dienststellen zu sog. Internetkompetenzzentren auszubauen oder – wie in Rheinland-Pfalz – an das 2010 eingerichtete „Competence-Center Telekommunikationsüberwachung“ anzugliedern. Auch sämtliche LfV werten das Internet intensiv aus. Jedoch haben – soweit bekannt – bislang aber nur Baden-Württemberg und NRW ein Internetkompetenzzentrum eingerichtet.[13]
Die EU und ihre Cybersicherheitsagentur
2010 hat die EU ihre „Digitale Agenda für Europa“ vorgelegt. Danach soll bis 2012 eine Plattform zur Bekämpfung der Cyberkriminalität eingerichtet und noch in diesem Jahr eine Durchführbarkeitsstudie für ein entsprechendes Europäisches Zentrum vorgelegt werden. Ferner will man die EU-weiten Einsatzübungen zur Cybersicherheit fortführen. Strategisches Ziel ist es, „international koordinierte Aktionen gegen Computerkriminalität und sicherheitsrelevante Angriffe gezielt durchführen“ zu können.[14]
Organisatorisches Zentrum für eine nicht-operative Bekämpfung der Cyberkriminalität ist die 2004 gegründete Europäische Agentur für Netz- und Informationssicherheit (ENISA) mit derzeit ca. 50 MitarbeiterInnen. Die Agentur, die sich als Unterstützungszentrum versteht, fördert zum einen das sog. Europäische Forum der Mitgliedstaaten (EFMS), in dem z.B. Grundsätze und Leitlinien für die Stabilität und Robustheit des Internet entwickelt wurden.[15] Zweitens koordiniert ENISA die Europäische Öffentlich-Private Partnerschaft für Robustheit (EP3R), in der Behörden und Wirtschaft gemeinsame Zielsetzungen und Anforderungen für die Sicherheit und Widerstandsfähigkeit der IT-Infrastruktur erarbeiten. Drittens unterstützt ENISA die Arbeit der bereits erwähnten European Government CERTS Group und organisierte schließlich im November 2010 die erste EU-weite Übung „Cyber Europe 2010“, an der 19 Mitgliedstaaten sowie Island, Norwegen und die Schweiz teilnahmen.[16]
2010 hat die EU-Kommission ein erweitertes Mandat für die Agentur vorgeschlagen.[17] Das EP3R-Forum soll zu einem ihrer „zentralen Tätigkeitsbereiche“ werden. ENISA soll künftig Übungen der EU koordinieren, aber auch solche mit den USA ermöglichen.[18] Und schließlich soll sich das EFMS „schwerpunktmäßig“ um eine enge Zusammenarbeit des geplanten CERT-Netzes der EU mit den Strafverfolgungsbehörden kümmern.[19]
Die Einbindung der nationalen Strafverfolgungs-, aber auch der Datenschutzbehörden als vollwertige Akteure ist zentraler Punkt der Mandatserweiterung. ENISA soll zwar weiterhin keine operativen Aufgaben erhalten, aber zu einer regelrechten „Schnittstelle“ zwischen Cybersicherheitsexperten und den für die Bekämpfung der Cyberkriminalität zuständigen Behörden werden.[20] Der EU-Datenschutzbeauftragte (EDPS) hat Ende 2010 hierzu seine Bedenken geäußert.[21] Zum einen sei die Bestimmung zur Einbeziehung der Strafverfolgungsbehörden in Art. 3 des Entwurfes „sehr allgemein“ gehalten – ebenso wie die Beschränkung der ENISA-Tätigkeit auf nicht-operative Aufgaben. Und schließlich kritisierte der EDPS die laxen Vorschriften zum Schutz personenbezogener Daten.
Europol checkt das Web
Die Koordination der polizeilichen Bekämpfung von Cyberkriminalität in der EU erfolgt somit bis auf weiteres im Wesentlichen durch Europol. Hierfür hat Europol 2009 zunächst eine Europäische Cybercrime-Plattform (ECCP) eingerichtet. Diese fußt auf drei Säulen: das Internet Crime Reporting Online System (I-CROS), in das die Mitgliedstaaten (und Drittstaaten) auch personenbezogene Informationen über internetbezogene Vorfälle einstellen können;[22] die auf gewinnorientierte Internet-Delikte konzentrierte Analyse-Datei „Cyborg“ und die Internet Forensic Expertise (I-FOREX), ein System zum Austausch „bewährter Praktiken“ und Trainingsmethoden.[23] Im Juni 2010 wurde dann die EU Cybercrime Task Force ins Leben gerufen, ein bislang nicht näher konturierter Zusammenschluss von Experten von Europol, Eurojust, der EU-Kommission sowie entsprechender Zentralstellen der Mitgliedstaaten.
Etwas besser dokumentiert ist demgegenüber das Europol-Projekt „check the web“ (CTW). 2006 hatte Deutschland vorgeschlagen, offen zugängliche islamistische Internetquellen EU-weit systematisch zu beobachten (also faktisch ein europäisches Gegenstück zum deutschen GIZ zu installieren).[24] Ein Jahr später wurde CTW mit dem Ziel gestartet, die Überwachung zwischen den acht beteiligten Mitgliedstaaten abzustimmen und eine auf den besonderen Sprach- und Sachkompetenzen der jeweiligen nationalen Behörden beruhende Arbeitsteilung vorzunehmen.
In Europols Anti-Terrorismusabteilung SC5 wurde hierzu ein Informationsportal eingerichtet, auf dem islamistische Websites und Zeitschriften, „terroristische“ Organisationen bzw. ihre Verlautbarungen sowie Kontaktstellen der teilnehmenden Behörden zu finden sind (inkl. zusätzlicher Informationen, z.B. über besondere Sprachkompetenz, technische Expertise und nationale rechtliche Möglichkeiten im Umgang mit unerwünschten Seiten). In Freitexten werden im CTW aber auch Auswertungsberichte abgelegt. Die darin enthaltenen personenbezogenen Informationen stammen nicht nur aus den ausgewerteten, frei zugänglichen Internetquellen, sondern werden häufig von den teilnehmenden Behörden aus nationalen Datenbeständen nachträglich hinzugefügt.[25]
Nach einer Beschwerde von Europols Gemeinsamer Kontrollinstanz, die Erfassung personenbezogener Daten im CTW bewege sich im juristischen Niemandsland, verfügte Europol 2009 einen Relaunch des Projekts, das nun förmlich in den Anwendungsbereich von Art. 10 des alten Europol-Übereinkommens überführt wurde (das allerdings Ende 2009 außer Kraft trat!). Zum einen sollten im CTW auch künftig solche personenbezogenen Daten verarbeitet und darauf beruhende Analysen ausgetauscht werden können, die – entgegen Art. 10 (3) des neuen Europol-Beschlusses von 2009 – die politische, religiöse oder weltanschauliche Überzeugung einer Person betreffen. Zum anderen sollte Europol auch weiterhin eigene Erkenntnisse in CTW einspeisen können.[26]
Und schließlich sollen so – eine Premiere bei Europol – nicht nur die unmittelbar beteiligten Analytiker, sondern alle teilnehmenden Behörden Zugriff auf die Informationen einer CTW-Analysedatei haben.[27]
Das Militär übt den Cyberwar
Die Bundeswehr ist nicht nur in die zivile Bekämpfung von Cyberangriffen eingebunden, sondern auch eigenständig aktiv. Zuständig hierfür ist das „Kommando Strategische Aufklärung“ (KSA) aus Gelsdorf bei Bonn. Im benachbarten Euskirchen wurde Ende 2002 damit begonnen, innerhalb des „Information Technology Center“ der Bundeswehr das bereits erwähnte Computer Emergency Response Team Bundeswehr (CERTBw) aufzubauen, das für die Netzwerksicherheit der Bundeswehr zuständig ist und die Bundeswehr national (im CERT-Verbund), international (FIRST.org) und in der NATO vertritt. (Das CERTBw nahm an der NATO-Übung Cyber Coalition 2010 teil.) Wenige Kilometer von Gelsdorf entfernt (in Rheinbach) baute das KSA in den letzten Jahren die vollkommen abgeschottete „Abteilung Informations- und Computernetzwerkoperationen“ (AIC) auf. Im November 2010 übte das KSA (in Zusammenarbeit mit dem Ulmer „Kommando Operative Führung Eingreifkräfte“) im Rahmen der Aktion „Gelber Merkur“ den durch einen Cyber-Angriff bewirkten Totalausfall der IT- und Kommunikationssysteme der Bundeswehr.[28] Die Bundeswehr verfolgt aber nicht nur defensive/reaktive Absichten. Ziel der AIC sei es darüber hinaus auch, „in fremde Netzwerke einzudringen, sie auszukundschaften, sie zu manipulieren oder zu zerstören“.[29]
Auch die NATO arbeitet konzeptionell und operativ am Thema „militärische Cyber-Security“. Nachdem sie schon 2008 „Guidelines for Cooperation on Cyber Defence with Partners and International Organisations“ und 2009 ein „Framework for Cooperation on Cyber Defence between NATO and Partner Countries“ beschlossen hatte, wurde Ende 2010 das Thema im neuen „Strategischen Konzept“ der Allianz verankert. Im März 2011 beschloss man ein eigenes „Cyber Defence Concept“.
Auf eine Cyberattacke 2007 auf private und öffentliche Server in Estland reagierte die NATO mit einer Neuordnung ihrer Abwehrstrukturen: Auf der ersten Ebene sind nun die einzelnen Mitgliedstaaten zuständig. Die zweite, die „NATO Computer Incident Response Capability (NRIRC), in der u.a. die nationalen CERTs der NATO-Staaten zusammenarbeiten, soll bis 2012 voll funktionsfähig sein. Auf der dritten Ebene entwickeln Verbindungsbeamte der NATO-Staaten im „Cyber Defence Coordination and Support Centre“, angesiedelt im NATO-Hauptquartier, allgemeine Politikansätze. Oberstes Lenkungsorgan ist das „Cyber Defence Management Board“, das für alle NATO-Kommandos zuständig sein soll.[30] Zudem übt man fleißig den Cyber-War. Im November 2010 gab es die inzwischen dritte zentrale Übungseinheit (Cyber Coalition 2010).[31] Bis Juni 2011 will die NATO ihre „Cyber Defence Policy“ evaluieren.
Vorläufige Schlussfolgerung
Bleiben wir erstens bei der Rolle des Militärs: In der Cyber-Sicherheitsstrategie des Bundes heißt es treuherzig, zivile Ansätze und Maßnahmen stünden „im Vordergrund“. Sie würden nur „ergänzt“ durch Defensiv-Maßnahmen der Bundeswehr. Wer hier aber wirklich „Koch und Kellner“ ist, liest sich an anderer Stelle eben dieser Sicherheitsstrategie ganz anders: „Wir befürworten das Engagement (der NATO) zugunsten einheitlicher Sicherheitsstandards, die die Mitgliedstaaten freiwillig auch für zivile Kritische Infrastrukturen übernehmen können.“[32]
Zweitens, die Einbeziehung der Wirtschaft: Allem Wortgeklingel zum Trotz nimmt die Wirtschaft am NCSR nur mittelbar und am NCA gar nicht teil. Einzig in der Task Force „IT-Sicherheit in der Wirtschaft“ treffen sich Sicherheitsbehörden und Wirtschaftsvertreter unmittelbar. Welche Grenzen die Behörden hier einhalten müssen, ob es hier wirklich nur um „Beratung“ und „Sensibilisierung“ geht, muss in Zukunft geklärt und beobachtet werden.
Und drittens das Kräfteverhältnis zwischen den Sicherheitsbehörden: Auf Bundesebene geht es hier z.B. um das Spannungsverhältnis zwischen BSI und BKA und die Konkurrenz zwischen Polizei und Geheimdiensten. Derzeit hat das BfV oft die Nase vorn – sei es im NCA, im GIZ oder in der Task Force „IT-Sicherheit in der Wirtschaft“. Und schließlich ist zu schauen, welche Bedeutung nicht-operativen Informationboards (in Deutschland die IT-Task Force, auf EU Ebene das angekündigte Zentrum zur Bekämpfung der Cyberkriminalität oder ENISA) zukommt – im Hinblick auf operativ ausgerichtete Behörden (wie BKA oder Europol) bzw. behördliche Netzwerke (wie das NCA). Wer sich in diesem Streben nach Hegemonie durchsetzen wird, kann heute nicht prognostiziert werden. Zu vermuten ist jedoch, dass die Sicherheitsbehörden darauf bedacht sein werden, sich bei ihrem Kampf gegen die Cyberkriminalität auch weiterhin nicht in die Karten schauen zu lassen. Nicht-operative Vernetzungsgremien dürften für sie nur von Interesse sein, um auf die Politikgestaltung möglichst effektiv Einfluss nehmen zu können.