Washington bereitet sich darauf vor, überprüften US-Cybersicherheitsunternehmen eine Rolle bei offensiven Operationen gegen ausländische Cyberkriminelle zu geben.
Präsident Donald Trump unterzeichnete am Mittwoch ein Präsidialmemorandum zur nationalen Sicherheit, das die Bundesregierung anweist, ein Programm einzurichten, im Rahmen dessen überprüfte US-Unternehmen Cyberüberwachung und „Cyber-Effekt“-Operationen gegen ausländische transnationale kriminelle Organisationen mit Cyberbezug (TCOs) durchführen könnten.
Das Memo erkennt an, dass der „amerikanische Privatsektor der innovativste und technologisch fortschrittlichste der Welt“ sei, seine Fähigkeiten bei den Bemühungen zur Zerschlagung krimineller Netzwerke jedoch „historisch unzureichend genutzt“ worden seien. Das Weiße Haus erklärte, amerikanische Verbraucher hätten 2025 durch internetgestützte Kriminalität mehr als 20,8 Milliarden US-Dollar verloren; 73 % der US-Erwachsenen seien von irgendeiner Form des Online-Betrugs betroffen gewesen.
So funktioniert das Programm
Das von der Nationalen Koordinierungsstelle (NCC) der Taskforce für Heimatschutz verwaltete und von gemeinsamen Exekutivdirektoren des DOJ und des DHS beaufsichtigte Programm erlaubt es „teilnehmenden Unternehmen“, sowohl Überwachungs- als auch Effektoperationen durchzuführen. Dem Memo zufolge umfasst eine „Cyber-Effekt-Operation“ die mögliche „Manipulation, Störung, Verweigerung, Beeinträchtigung oder Zerstörung von Informationssystemen, Netzwerken [und] physischer oder virtueller Infrastruktur“.
Voraussetzung ist, dass die Unternehmen einen Vertrag mit der Bundesregierung schließen und eine strenge Überprüfung durchlaufen. Das DOJ oder das DHS kann von teilnehmenden Unternehmen außerdem verlangen, eine Kaution oder ein Treuhandkonto von mindestens 1 Million US-Dollar zu hinterlegen, das bei vertraglicher Nichteinhaltung verfällt.
Die NCC hat 60 Tage Zeit, Betriebsverfahren festzulegen, und jede geplante Operation erfordert eine schriftliche Genehmigung. Damit soll sichergestellt werden, dass „jede daraus resultierende operative Maßnahme ausschließlich im Auftrag und unter der Aufsicht der Bundesregierung durchgeführt wird“.
Die Risikokalkulation
Trotz der staatlichen Aufsicht ist die Initiative bei erfahrenen Cybersicherheitsexperten auf Skepsis gestoßen. Das von Ari Redbord von TRM Labs als faktische Vergabe von „Cyber-Kaperbriefen“ beschriebene Konzept weckt laut Bericht von Bloomberg erneut Befürchtungen hinsichtlich einer Eskalation und von Kollateralschäden.
„Kollateralschäden zu vermeiden, ist äußerst schwierig“, warnte Pareekh Jain, CEO von Pareekh Consulting, laut CSO, und wies darauf hin, dass Kriminelle sich häufig „in echten Unternehmensnetzwerken verstecken, Smart-Home-Geräte hacken und mit gestohlenen Kreditkarten standardmäßige Cloud-Server mieten“.
Microsofts Nick Carr hob das zentrale Problem der Zuordnung hervor und erklärte: „Meine größte Sorge bei offensiven Maßnahmen des Privatsektors gegen Kriminalität … ist, wie schwierig die Zuordnung bei kriminellen Operationen ist … Menschen liegen bei ziemlich wichtigen Vorfällen regelmäßig und bereitwillig falsch.“
Das Memorandum gewährt den teilnehmenden Unternehmen weder ausdrücklich Immunität noch eine Haftungsfreistellung. Daraus folgt jedoch nicht, dass Auftragnehmer für sämtliche Haftung aufkommen müssen; die Verteilung des Risikos kann von Regierungsverträgen, Umsetzungsverfahren, dem Versicherungsschutz und dem geltenden Recht abhängen.
Für Cybersicherheitsunternehmen, die eine Teilnahme erwägen, gehören die Verantwortung für Kollateralschäden, falsche Zuordnungen, Vergeltungsmaßnahmen und Operationen mit Auswirkungen auf die Infrastruktur Dritter zu den ungeklärten Fragen. CISOs sollten außerdem prüfen, ob Bedrohungsinformationen, die an teilnehmende Unternehmen weitergegeben werden, später staatlich genehmigte Überwachungs- oder Störungsoperationen unterstützen könnten.
Weitere Einzelheiten dürften bekannt werden, wenn die NCC ihre Betriebsverfahren veröffentlicht, die innerhalb von 60 Tagen vorliegen sollen. Bis dahin bleiben Haftung, Haftungsfreistellung, Datennutzung und Versicherungsschutz ungeklärte Fragen.
Mehr lesen: Autonome KI-Verteidigung: Es ist Zeit, die KI von der Leine zu lassen untersucht die Risiken und möglichen Vorteile, wenn defensive Systeme mit weniger menschlichem Eingreifen handeln.