US-Memo skizziert Rolle privater Unternehmen bei der Zerschlagung ausländischer Cyberkriminalitätsnetzwerke

Präsident Donald Trump hat US-Regierungsbehörden ermächtigt, private Cybersicherheitsunternehmen mit der Sammlung von Informationen und Störaktionen gegen bestimmte ausländische Cyberkriminalitätsgruppen zu beauftragen.

Ein diese Woche unterzeichnetes Memorandum schafft einen Rahmen dafür, dass Auftragnehmer Operationen gegen „transnationale kriminelle Organisationen mit Cyberbezug“ unterstützen. Als Zielgruppen gelten ausländische Gruppen, die Cyberkriminalität gegen die US-Regierung, US-Bürger oder US-Interessen betreiben. Organisationen, die direkt für ausländische Regierungen handeln oder vollständig in deren Auftrag tätig sind, sind von dem Programm ausgenommen.

Überwachung und Störung

Die Richtlinie unterscheidet zwischen Cyberüberwachung und „Cyber-Effektoperationen“. Letztere können die Manipulation, Störung, Sperrung oder Beeinträchtigung von Informationssystemen, Netzwerken, Infrastrukturen und Daten umfassen, die über diese Systeme kontrolliert werden. Das Memo erkennt außerdem an, dass Überwachungsmaßnahmen selbst begrenzte Eingriffe in Systeme erfordern können.

Teilnehmende Unternehmen werden einer staatlichen Überprüfung, detaillierten Einsatzverfahren und regelmäßigen technischen Evaluierungen unterzogen. Diese Verfahren sollen innerhalb von 60 Tagen von den Programmleitern in Zusammenarbeit mit dem Homeland Security Council entwickelt werden. Die zuständigen Stellen werden außerdem angewiesen, sowohl großen Auftragnehmern als auch kleineren Unternehmen mit spezialisierten Fähigkeiten Möglichkeiten zur Teilnahme zu bieten.

Das Justizministerium wird an der Genehmigung von Operationen beteiligt sein, insbesondere wenn US-Bürger oder innerstaatliche Rechtsfragen betroffen sind. Auftragnehmer dürfen keine Aktivitäten durchführen, die voraussichtlich zum Tod oder zu schweren Verletzungen führen, oder Operationen, die nach internationalem Recht als bewaffneter Angriff eingestuft werden könnten. Jedes Unternehmen muss mindestens 1 Million US-Dollar als Bürgschaft oder auf einem Treuhandkonto hinterlegen; dieser Betrag kann bei Vertragsverstößen verfallen.

Rechtliche Fragen bleiben offen

Die Initiative folgt auf die Cybersicherheitsstrategie der Regierung vom März, in der eine stärkere Zusammenarbeit zwischen öffentlichem und privatem Sektor zur Identifizierung und Störung feindlicher Netzwerke gefordert wurde. Rechtsexperten hatten zuvor infrage gestellt, ob das geltende US-Recht privaten Unternehmen die Durchführung von Gegenangriffen erlauben würde.

Der Computer Fraud and Abuse Act verbietet grundsätzlich den unbefugten Zugriff auf Computersysteme. Eine Bestimmung nimmt bestimmte autorisierte Ermittlungs-, Schutz- und nachrichtendienstliche Aktivitäten von Regierungsbehörden davon aus. Die Gerichte haben jedoch noch nicht geklärt, ob dieser Schutz auch für private Auftragnehmer gilt, die unter staatlicher Leitung arbeiten. Juristen warnen zudem, dass eine zivilrechtliche Haftung auch dann bestehen bleiben könnte, wenn sich die Prioritäten der Strafverfolgung ändern.

Das Programm stellt daher eine erhebliche Anpassung der US-Cyberpolitik dar, lässt jedoch wichtige Fragen zur Aufsicht, Haftung und den internationalen Folgen offen. Verbündete der USA und die Cybersicherheitsbranche werden wahrscheinlich genau beobachten, wie der Rahmen umgesetzt wird und ob sich Unternehmen zur Teilnahme entschließen.