Mythos #10: Der Cyberkrieg kommt.
Matthias Schulze
Mythos: Cyberkriege sind unvermeidlich. Moderne Volkswirtschaften sind in hohem Maß von Computern abhängig, die anfällig für Hacking sind. Ein strategischer Cyberangriff auf eine kritische Infrastruktur wie beispielsweise das Stromnetz könnte eine ganze Volkswirtschaft lahmlegen und Tausende von Opfern fordern. Es geht nicht darum, ob, sondern wann dieses Szenario eintreten wird.
Stimmt’s? 1991 kam erstmals der Gedanke einer Bedrohung in Form eines digitalen Pearl Harbor auf, d. h. eines überraschenden Cyberangriffs, der auf die strategischen Funktionen eines Staates abzielt und damit eine ganze Volkwirtschaft lähmt. Seither hören wir, dass „der Cyberkrieg kommt!“, denn aufgrund der transnationalen Natur des digitalen Schlachtfelds können Angreifende von überall und jederzeit zuschlagen. Es geht nicht darum, ob, sondern wann ein solch vernichtender Cyberangriff stattfinden wird (Arquilla und Ronfeldt 1993). Dieses Weltuntergangsszenario wurde wiederholt thematisiert und ist weltweit ein wichtiger Aspekt von Cyberstrategien (# 13).
Auch wenn jedes Jahr Millionen verschiedener Arten von „Cyberangriffen“ stattfinden, haben nur wenige von ihnen bislang durchschlagende Wirkung erzielt (CFR Cyber Operations Tracker 2019). Bis heute gab es keine Todesfälle als direkte Folge eines Cyberangriffs. Der bislang extremste Fall war die Sabotage iranischer Kernanreicherungszentrifugen im Jahr 2010 mit Stuxnet. Die beiden öffentlich bekannt gewordenen Beispiele für eine Abschaltung des Stromnetzes in der Ukraine in den Jahren 2016 und 2017 dauerten nur wenige Stunden. Bei einem Cyberangriff auf Kraftwerke wird in der Regel nicht der Betrieb gestört, sondern es werden Backdoors installiert, die im Fall eines zukünftigen Konflikts genutzt werden können.
Der Mythos des strategischen Cyberkriegs basiert auf einem falschen Verständnis der Funktion von Krieg und Cyber-Möglichkeiten. Um mit von Clausewitz zu sprechen: „Der Krieg ist […] ein Akt der Gewalt, um den Gegner zur Erfüllung unseres Willens zu zwingen.“ Die meisten Cyberangriffe gehören nicht in die Kategorie „Krieg“, da sie nicht gewalttätig und oft Ausdruck finanzieller und nicht politischer Motive sind. Cyberspionage kommt häufig vor, jedoch fehlt es hier am Motiv des Zwangs (Rid 2013). Auch verwechseln wir die Möglichkeit eines strategischen Cyberangriffs mit seiner Wahrscheinlichkeit: Ein solches Szenario ist zwar möglich, jedoch unwahrscheinlich. Der Grund dafür ist, dass ein Angriff aus heiterem Himmel keinen großen politischen Nutzen verspricht, sofern seine Wirkung nicht durch Anwendung physischer Gewalt dauerhaft verstärkt wird. Die meisten Cyberangriffe haben eher vorübergehend störende als dauerhaft zerstörerische Wirkung. Dies bedeutet, dass sie nicht effektiv eingesetzt werden können, um einen Feind so zu unterwerfen oder zu zwingen, wie es physische Gewalt vermag, d. h. durch die Besetzung von Territorium und die dauerhafte Unterwerfung feindlicher Kräfte (Gartzke 2013). Dies erklärt, warum Cyberfähigkeiten in der Regel ergänzend zu konventionellen physischen Konflikten und nicht als eigenständige Waffe eingesetzt werden. Nur in diesem Umfeld können Cyberangriffe politischen Nutzen erzeugen, was eine Kernfunktion des Krieges als bloße Fortsetzung der Politik mit anderen Mitteln darstellt.
Stimmt also nicht! Viele Cyberstrategien warnen vor der Bedrohung durch ein digitales „Pearl Harbor“, einen strategischen Cyberangriff, der Stromnetze sabotieren und die Volkswirtschaft einer ganzen Industrienation zum Erliegen bringen könnte. Zwar kann ein Stromnetz auch aus der Ferne abgeschaltet werden, jedoch kann daraus nur dann ein wesentlicher politischer Nutzen gezogen werden, wenn der Cyberangriff im Rahmen eines konventionellen physischen Konflikts erfolgt, bei dem die Wirkung des Angriffs verstetigt werden kann. Cyberfähigkeiten werden als ein Werkzeug in physischen Konflikten eingesetzt, jedoch wird ein eigenständiger, rein digitaler strategischer Cyberkrieg nicht stattfinden.
Quelle: Thomas Rid, Cyber „War Will Not Take Place (London: Hurst, 2013); Brandon Valeriano und Ryan C. Maness, Cyber War versus Cyber Realities (Oxford: OUP, 2015).