Die FCC stimmte am Donnerstag dafür, neu eingeführte Cybersicherheitsanforderungen für US-Telekommunikationsanbieter abzuschaffen. Damit machte sie nach Ansicht von Kritikern die wichtigste Reaktion der Behörde auf mit China verbundene Angriffe auf amerikanische Kommunikationsnetze rückgängig.
In einer Abstimmung mit 2 zu 1 Stimmen entlang der Parteilinien widerrief die Kommission ihre frühere Feststellung, dass Telekommunikationsanbieter ihre Netze gemäß dem Communications Assistance for Law Enforcement Act von 1994 (CALEA) absichern müssen.
Experten warnen: FCC-Kehrtwende gefährdet US-Netze
Die Entscheidung macht eine in den letzten Tagen der Biden-Regierung verabschiedete Regelung rückgängig, nach der Anbieter grundlegende Cybersicherheitsstandards erfüllen sollten.
Die Rücknahme stieß bei Politikern und Cybersicherheitsexperten umgehend auf Kritik. Sie warnten, dass stärkere Schutzmaßnahmen nach der von China unterstützten Salt-Typhoon-Kampagne, bei der über mehrere Jahre mehr als 200 Telekommunikationsanbieter – darunter AT&T, Verizon und Lumen – infiltriert wurden, unerlässlich seien.
„Die Abschaffung verpflichtender Cybersicherheitsgrundlagen für Telekommunikationsanbieter ist zum denkbar schlechtesten Zeitpunkt eine verantwortungslose Politik. Von China staatlich unterstützte APT-Gruppen, darunter Salt Typhoon, haben in diesem Jahr bereits mehrere US-Telekommunikationsunternehmen kompromittiert, Gesprächsdaten exfiltriert und rechtmäßige Abhörsysteme abgefangen“, sagte Jaya Baloo, Mitgründerin sowie COO und CISO bei AISLE.
Sie erklärte: „Diese bundesweiten Anforderungen führten zu messbaren Verbesserungen bei der Netzwerksegmentierung, der Implementierung von Zero-Trust-Architekturen und der Überprüfung von Lieferketten, die den anhaltenden Bedrohungen für SS7, Diameter und die zentrale Telekommunikations-Routing-Infrastruktur unmittelbar entgegenwirken.“
Jaya fügte hinzu: „Die Abschaffung durchsetzbarer Standards schafft einen Flickenteppich aus Schutzmaßnahmen in miteinander verbundenen Netzen und garantiert, dass Angreifer die schwächsten Verbindungen ausnutzen werden, um auf 911-Systeme, staatliche Kommunikation und kritische Infrastrukturen zuzugreifen, die auf die Widerstandsfähigkeit der Telekommunikation angewiesen sind.“
Die Abschaffung der Regeln „werde die amerikanische Bevölkerung schutzlos zurücklassen“, sagte Senator Gary Peters (D-MI), ranghöchstes Mitglied des Senatsausschusses für Heimatschutz.
Senatorin Maria Cantwell (D-WA), ranghöchstes Mitglied des Handelsausschusses, forderte die Kommission ebenfalls auf, die Standards beizubehalten. In einem Brief erklärte sie: „Unsere Bemühungen sollten darauf gerichtet sein, die Cybersicherheit unserer kritischen Infrastrukturnetze weiter zu verbessern, statt bestehende Schutzmaßnahmen zurückzunehmen.“
FCC-Kommissarin Anna Gomez, die einzige Demokratin im Gremium, veröffentlichte eine scharfe abweichende Stellungnahme.
Sie bezeichnete die zurückgenommenen Standards als „die einzige sinnvolle Maßnahme, die diese Behörde vorangetrieben hat“, seit die Salt-Typhoon-Kampagne entdeckt wurde. Dabei hatten staatlich unterstützte chinesische Hacker nicht nur Telekommunikationsnetze angegriffen, sondern auch die Systeme für rechtmäßige Überwachung, die Anbieter für Strafverfolgungsbehörden vorhalten müssen.
Warum die Cyberregeln der FCC wichtig waren
Die abgeschafften Regeln gingen auf die frühere Auslegung der FCC zurück, wonach CALEA Telekommunikationsunternehmen dazu verpflichtet, Netzwerksysteme vor „unrechtmäßigem Zugriff oder unrechtmäßiger Überwachung“ zu schützen.
Die Standards hätten Anbieter verpflichtet, grundlegende Cybersicherheitsmaßnahmen einzuführen, um Angriffe zu verhindern, sensible Kommunikationsdaten zu schützen und die Integrität der Überwachungsinfrastruktur sicherzustellen.
Sicherheitsexperten haben die Operation Salt Typhoon als eindringliches Beispiel dafür bezeichnet, was schwache Standards ermöglichen können.
Nach Angaben von Bundesermittlern drang die Gruppe über Jahre unbemerkt in US-Telekommunikationsnetze ein, sammelte sensible Informationen über US-Regierungsvertreter und verschaffte sich in einigen Fällen sogar Zugang zu den Abhörsystemen selbst – wodurch ausländische Akteure möglicherweise Einblick in die Arbeit inländischer Strafverfolgungsbehörden erhielten.
Gomez betonte, dass die freiwillige Zusammenarbeit der Anbieter nicht ausreiche, um staatlich unterstützte Bedrohungen abzuwehren. „Absprachen ohne Durchsetzungskraft werden staatlich unterstützte Hacker nicht davon abhalten, unsere Netze zu infiltrieren“, sagte sie. „Sie werden den nächsten Angriff nicht verhindern.“
Telekommunikationsbranche begrüßt Rücknahme, doch Sicherheitsbedenken wachsen
Die Internet & Television Association (früher bekannt als NCTA), die große Telekommunikations- und Breitbandanbieter vertritt, begrüßte die Kehrtwende der FCC und bezeichnete die verworfenen Regeln als „präskriptive und kontraproduktive Vorschriften“.
Branchenverbände argumentieren seit Langem, dass starre Vorgaben des Bundes Innovationen hemmen und kostspielige Compliance-Auflagen verursachen würden.
Führende Vertreter des Kongresses beider Parteien haben jedoch Bedenken über das Fehlen durchsetzbarer Standards geäußert.
Senator Mark Warner (D-VA), Vorsitzender des Geheimdienstausschusses des Senats, erklärte, die Entscheidung „lasse uns ohne glaubwürdigen Plan“ für den Umgang mit den Schwachstellen zurück, die Salt Typhoon und andere Akteure auf Ebene von Nationalstaaten ausgenutzt hätten.
Die zugrunde liegende Spannung verdeutlicht eine größere Herausforderung beim Schutz der US-Infrastruktur: Während Telekommunikationsnetze als Rückgrat der nationalen Kommunikation dienen, verfügt die Bundesregierung nur über begrenzte Befugnisse, einheitliche Cybersicherheitsstandards für alle Anbieter vorzuschreiben.
Diese Regelungslücke hat dazu geführt, dass sich ein großer Teil der Branche selbst reguliert – eine Regelung, die nach Ansicht einiger Abgeordneter im Zeitalter fortschrittlicher Spionagekampagnen nicht länger tragfähig ist.
Telekommunikationssicherheit an einem Wendepunkt
Nach der Abstimmung erklärte Carr, die FCC werde alternative Ansätze zum Schutz der US-Kommunikationsnetze verfolgen, machte jedoch nur wenige Angaben dazu, wie künftige Maßnahmen aussehen könnten.
Er betonte, dass die Kommission sich von präskriptiven Vorgaben weg und hin zu „kollaborativen“ Ansätzen mit der Branche bewegen wolle.
Sicherheitsexperten warnen, dass viele Anbieter ohne durchsetzbare Anforderungen möglicherweise weiterhin zu wenig in wichtige Sicherheitskontrollen investieren werden – insbesondere kleinere Anbieter mit begrenzten Ressourcen.
Die Tragweite gehe weit über den Schutz der Privatsphäre von Verbrauchern hinaus, argumentieren sie: Telekommunikationsnetze bilden die Grundlage für Notfalldienste, staatliche Abläufe, militärische Kommunikation und kritische Infrastrukturen.
Während die Abgeordneten gesetzgeberische Reaktionen abwägen und die FCC ihren Ansatz neu bewertet, macht die Debatte eine zentrale nationale Herausforderung deutlich: die US-Kommunikationsinfrastruktur vor hochentwickelten ausländischen Bedrohungen zu schützen und sich zugleich auf freiwillige Sicherheitspraktiken der Branche zu verlassen, die dem heutigen Risikoumfeld möglicherweise nicht gerecht werden.