Cybersicherheit: US-Regierung erlaubt Firmen Offensiv-Hacks

Ein neuer Kurs in der US-Cyberstrategie

Die US-Regierung unter Präsident Donald Trump hat eine signifikante Neuausrichtung in ihrer Sicherheitspolitik vollzogen. Mit der Unterzeichnung eines nationalen Sicherheitsmemorandums wurde der Weg für ein Programm geebnet, das es ausgewählten privaten Unternehmen erlaubt, offensive Cyberoperationen gegen kriminelle Gruppierungen im Ausland durchzuführen. Diese Entscheidung markiert eine Abkehr von der bisherigen Praxis, bei der derartige Aktivitäten fast ausschließlich staatlichen Akteuren wie dem Militär oder Nachrichtendiensten vorbehalten waren. Die US-Behörden reagieren damit auf die zunehmende Bedrohung durch internationale Cyberkriminelle, die regelmäßig Erpressungssoftware einsetzen, Finanzbetrug in großem Stil begehen oder gezielt kritische Infrastrukturen angreifen. Das Programm ist jedoch keineswegs als Freibrief für private Sicherheitsfirmen zu verstehen. Vielmehr unterliegen alle Operationen einer strikten staatlichen Regie und einer kontinuierlichen Überwachung durch das Heimatschutzministerium (DHS) sowie das Justizministerium (DOJ). Ziel ist es, die technologische Expertise der Privatwirtschaft zu nutzen, um den Druck auf kriminelle Netzwerke jenseits der US-Grenzen zu erhöhen, während gleichzeitig die Kontrolle über die Art und den Umfang dieser digitalen Eingriffe fest in staatlicher Hand verbleibt. Die Maßnahme ist eine direkte Reaktion auf die wachsende Komplexität und Häufigkeit digitaler Angriffe, die zunehmend die Stabilität der nationalen Versorgungssysteme gefährden.

Die Rahmenbedingungen und operative Details

Das neu geschaffene Programm wird durch das Nationale Koordinierungszentrum der Homeland Security Task Force operativ gesteuert. Damit ein Unternehmen überhaupt an diesem Vorhaben teilnehmen darf, muss es ein umfassendes und strenges Überprüfungsverfahren durchlaufen. Erst nach einer erfolgreichen Zertifizierung können vertragliche Bindungen mit den beteiligten Ministerien eingegangen werden. Ein wesentlicher Bestandteil dieser Verträge ist die finanzielle Absicherung: Die Behörden können von den Unternehmen die Hinterlegung einer Kaution oder einer Treuhandsumme in Höhe von mindestens einer Million US-Dollar verlangen. Sobald die Zulassung erteilt ist, erhalten die Unternehmen die Befugnis, Angriffe auf ausländische Netzwerke vorzuschlagen und im Gegenzug wertvolle Cybersicherheitsdaten zu sammeln. Die genehmigten Aktivitäten umfassen sowohl Cyberüberwachungsmaßnahmen als auch sogenannte Cyber-Effekt-Operationen. Letztere beinhalten laut dem offiziellen Dokument die Manipulation, Störung, Verweigerung, Beeinträchtigung oder sogar die Zerstörung von Informationssystemen und Netzwerken. Dies erstreckt sich explizit auch auf physische oder virtuelle Infrastrukturen, die von den betroffenen Systemen gesteuert werden. Die Unternehmen agieren dabei stets als verlängerter Arm der Regierung, wobei jeder Schritt im Vorfeld durch die Programmleiter genehmigt werden muss.

Hintergrund und Auslöser der Entscheidung

Die Entscheidung der US-Regierung fällt in eine Zeit erhöhter Sensibilität gegenüber Cyberbedrohungen. Ein konkreter Anlass für die Verschärfung der Gangart war ein koordinierter Angriff Ende Juli 2026, der mehr als 30 Wasserversorger in Minnesota sowie in mindestens sechs weiteren Bundesstaaten traf und dort zu massiven Störungen führte. Solche Vorfälle verdeutlichen die Verwundbarkeit der kritischen Infrastruktur gegenüber ausländischen Akteuren. Die nun getroffene Regelung ist das Ergebnis einer längeren Debatte innerhalb der US-Sicherheitsbehörden darüber, wie man auf die zunehmende Professionalisierung krimineller Gruppen reagieren kann, die sich oft in rechtlichen Grauzonen bewegen und außerhalb der Reichweite klassischer Strafverfolgung agieren. Die Einbindung privater Firmen soll hierbei eine Lücke schließen, indem sie Ressourcen und technisches Know-how bereitstellt, die in dieser Dichte im staatlichen Sektor möglicherweise nicht sofort verfügbar sind. Das Memorandum ist somit als strategisches Instrument zu verstehen, das die Verteidigung des Landes durch offensive Elemente ergänzen soll, um Kriminelle proaktiv zu stören, bevor diese weiteren Schaden anrichten können. Es ist ein Versuch, die asymmetrische Natur digitaler Konflikte durch eine engere Verzahnung von öffentlichem und privatem Sektor zu adressieren.

Die Akteure und ihre Verantwortlichkeiten

An der Spitze der Initiative stehen das Heimatschutzministerium (DHS) und das Justizministerium (DOJ), die das Programm gemeinsam leiten. Sie tragen die Verantwortung für die Auswahl der Unternehmen, die Vertragsgestaltung und die Genehmigung jeder einzelnen Operation. Auf der anderen Seite stehen die privaten Cybersicherheitsunternehmen, die sich für das Programm bewerben können. Fachleute aus der Branche haben sich bereits kritisch zu dem Vorhaben geäußert. Jake Williams, Vizepräsident bei Hunter Strategy, warnt vor den geopolitischen Konsequenzen: Er befürchtet, dass amerikanische Mitarbeiter der Firmen im Ausland als nicht uniformierte Kombattanten eingestuft werden könnten, was ihre Sicherheit gefährden würde. Jason Kitka, ein ehemaliger Offizier des Cyber-Commands, äußert sich ebenfalls skeptisch und bezeichnet das Programm als eine Art "Perpetuum-mobile-Maschine für abrechenbare Bedrohungen". Er sieht darin einen Anreiz für Unternehmen, ständig neue Operationen vorzuschlagen, um ihren eigenen Umsatz zu steigern. Chris Wysopal, ein Veteran der Cybersicherheit, ordnet das Memorandum zwar als eine "große Verschiebung in der US-Cyberpolitik" ein, merkt jedoch an, dass es hinter früheren, weitergehenden "Hack-back"-Vorschlägen zurückbleibt. Die Akteure bewegen sich somit in einem Spannungsfeld zwischen staatlichem Auftrag, wirtschaftlichem Interesse und erheblichen Sicherheitsrisiken.

Einordnung und rechtliche Grenzen

Die Einordnung des Memorandums zeigt, dass die US-Regierung zwar die offensive Komponente stärkt, aber dennoch rote Linien zieht. Den Berichten zufolge ist das Programm keineswegs grenzenlos. Operationen, die voraussichtlich Menschen verletzen oder töten könnten, sind explizit untersagt. Ebenso sind Aktionen ausgeschlossen, die nach dem Völkerrecht als Gewaltanwendung eingestuft werden könnten. Ein weiterer wichtiger Punkt ist der Schutz von US-Bürgern und inländischen Systemen: Sollten solche Ziele unbeabsichtigt von einer Operation betroffen sein, sind die Unternehmen verpflichtet, den Angriff sofort zu stoppen, Minimierungsmaßnahmen zu ergreifen und den Vorfall umgehend zu melden. Für Eingriffe, die das Inland betreffen könnten, sind zudem zusätzliche, unter Umständen gerichtliche Genehmigungen erforderlich. Dennoch bleibt eine gewisse Unschärfe bestehen. Die Bewertung der rechtlichen Risiken ist komplex, da die Grenze zwischen einer notwendigen Verteidigungsmaßnahme und einer völkerrechtswidrigen Aggression im digitalen Raum oft fließend ist. Kritiker betonen, dass die Gefahr einer Eskalation digitaler Konflikte durch die Einbeziehung privater Akteure deutlich zunimmt, da diese möglicherweise weniger diplomatisch agieren als staatliche Stellen.

Offene Fragen und ungeklärte Details

Trotz der Veröffentlichung des Memorandums bleiben zentrale Fragen unbeantwortet. Besonders kritisch wird in Fachkreisen betrachtet, dass die genauen Kriterien für die Identifizierung von Zielen sowie die Mechanismen zur Korrektur von Fehleinschätzungen in einem geheimen Anhang geregelt sind, der der Öffentlichkeit nicht zugänglich ist. Dies entzieht wesentliche Teile der operativen Logik der demokratischen Kontrolle und macht es für Außenstehende unmöglich, die Verhältnismäßigkeit der Angriffe zu beurteilen. Auch bleibt unklar, wie die Regierung im Falle einer diplomatischen Krise reagieren will, sollte eine von einem privaten Unternehmen geführte Operation zu einem internationalen Zwischenfall führen. Welche rechtlichen Konsequenzen drohen den Unternehmen genau, wenn sie gegen die Auflagen verstoßen, oder wie die Haftungsfrage bei Kollateralschäden im Ausland abschließend geregelt ist, wird im vorliegenden Text nicht detailliert ausgeführt. Die Lücke zwischen dem öffentlichen Teil des Memorandums und dem geheimen Anhang schafft ein Informationsdefizit, das Raum für Spekulationen über die tatsächliche Reichweite und die Risiken dieser neuen Strategie lässt. Es bleibt abzuwarten, wie sich die praktische Umsetzung in den kommenden Monaten gestaltet und ob die geheimen Vorgaben den Bedenken der Experten Rechnung tragen können.