Die USA wollen im Kampf gegen internationale Cyberkriminalität künftig auch auf private Hacker setzen. Präsident Trump hat dafür ein Programm angeordnet, in dessen Rahmen ausgewählte US-Unternehmen unter staatlicher Kontrolle offensive Cyberoperationen durchführen sollen. Die Maßnahmen reichen bis zur Zerstörung fremder Systeme.

Private Firmen sollen für den Staat hacken

Grundlage ist ein am 12. August unterzeichnetes National Security Presidential Memorandum. Es verpflichtet das National Coordination Center (NCC) der Homeland Security Task Force, ein entsprechendes Programm aufzubauen. Beteiligt sind außerdem das US-Justizministerium (DOJ) und das Department of Homeland Security (DHS).

Das Vorhaben geht deutlich über eine Zusammenarbeit zwischen Behörden und Sicherheitsunternehmen bei der Abwehr von Angriffen hinaus. Teilnehmer sollen ausdrücklich sogenannte „Cyber Surveillance Operations“ und „Cyber Effects Operations“ durchführen können. Das Weiße Haus begründet den Schritt damit, dass die Fähigkeiten amerikanischer Unternehmen bislang zu wenig genutzt worden seien, um kriminelle Netzwerke im Cyberspace aufzuspüren und zu stören. Der Privatsektor verschaffe den USA demnach einen „entscheidenden offensiven Cybervorteil“.

Ein allgemeines Recht zum „Hackback“ erhalten amerikanische Firmen dadurch allerdings nicht. Unternehmen dürfen also nicht eigenmächtig einen mutmaßlichen Angreifer zurückhacken, nachdem sie selbst Opfer einer Attacke geworden sind. Stattdessen werden ausgewählte Unternehmen zu Auftragnehmern der US-Regierung und führen zuvor genehmigte Operationen unter deren Kontrolle durch. Das Memorandum schreibt ausdrücklich vor, dass jede Operation im Namen und unter Aufsicht der Bundesregierung stattfinden muss.

Medien wie Bloomberg beschreiben das Vorgehen als digitalen Kaperbrief.

Vom Ausspähen bis zur Zerstörung

Wie weit solche Einsätze gehen können, definiert das Memorandum ungewöhnlich konkret. Bei einer „Cyber Surveillance Operation“ dürfen Teilnehmer ohne Zustimmung des Eigentümers in fremde Computersysteme eindringen, um dort möglichst unbemerkt Informationen zu sammeln. Die gewonnenen Daten können anschließend auch zur Vorbereitung weiterer Angriffe dienen.

Noch weiter gehen die „Cyber Effects Operations“. Darunter versteht die US-Regierung Eingriffe, die Computersysteme, Netzwerke oder digital gesteuerte physische Infrastruktur manipulieren, stören, blockieren, beeinträchtigen oder zerstören. Auch auf den Systemen gespeicherte Daten können Ziel einer solchen Operation werden.

Damit dürfen private Auftragnehmer prinzipiell Tätigkeiten übernehmen, die bislang vor allem staatlichen Strafverfolgern, Geheimdiensten und militärischen Cyber-Einheiten vorbehalten waren. Die US-Regierung bezeichnet das Modell allerdings nicht als Freibrief für private Cyberangriffe. Jede geplante Operation muss den zuständigen Direktoren des Programms vorgelegt und von ihnen schriftlich genehmigt werden.

Die genauen Einsatzregeln existieren zudem noch nicht. DOJ und DHS müssen innerhalb von 60 Tagen gemeinsame Vorgaben erarbeiten. Diese sollen unter anderem technische Anforderungen an teilnehmende Unternehmen, Sicherheitsüberprüfungen des Personals und Verfahren zur Auswahl von Zielen festlegen.

Mindestens eine Million Dollar als Sicherheit

Teilnehmen sollen sowohl große Konzerne als auch kleinere spezialisierte Cybersecurity-Unternehmen können. Voraussetzung sind unter anderem nachgewiesene Erfahrung mit Cyberoperationen, entsprechende technische Fähigkeiten sowie überprüftes Personal.

Zusätzlich können DOJ und DHS verlangen, dass die Unternehmen mindestens eine Million US-Dollar als Sicherheit hinterlegen. Verstoßen sie gegen die vertraglich festgelegten Regeln des Programms, kann diese Summe eingezogen werden.

Auch für Operationen selbst gelten Grenzen. Stellt ein Unternehmen beispielsweise fest, dass versehentlich ein US-Bürger oder ein Computersystem innerhalb der Vereinigten Staaten betroffen ist, muss es den Einsatz abbrechen und das NCC informieren. Angriffe, bei denen Tote oder schwere Verletzungen wahrscheinlich sind oder die nach internationalem Recht als bewaffneter Angriff gelten könnten, werden im Memorandum als „Critical Outcomes“ gesondert behandelt und können nicht über das reguläre Genehmigungsverfahren freigegeben werden.

Ziel sind ausländische kriminelle Organisationen

Ins Visier genommen werden sollen sogenannte „Cyber-Enabled Transnational Criminal Organizations“. Dazu zählen ausländische Gruppierungen, die Cyberkriminalität gegen US-Bürger, Unternehmen oder staatliche Einrichtungen betreiben. Das Weiße Haus nennt unter anderem Ransomware, Phishing, Finanzbetrug, Erpressung und Identitätsbetrug als Beispiele.

Ausdrücklich ausgenommen sind Organisationen, die Bestandteil einer ausländischen Regierung sind oder vollständig unter deren Kontrolle handeln. Interessant ist allerdings die Beweislast: Solange keine eindeutigen Geheimdienstinformationen eine staatliche Verbindung belegen, geht das Programm zunächst davon aus, dass eine Gruppe unabhängig handelt.

Welche Unternehmen tatsächlich an dem Programm teilnehmen und wann die ersten Operationen durchgeführt werden, ist noch offen. Entscheidende Details werden erst mit den innerhalb der kommenden 60 Tage auszuarbeitenden Einsatzregeln festgelegt.

In Deutschland verschärft sich Diskussion um Hackbacks ebenfalls. Freibriefe für Unternehmen zählen nicht dazu. Geheimdienste wie der BND sollen aber im Rahmen der aktuellen Geheimdienstreform entsprechende Befugnisse erhalten.