Die US-Regierung wird erstmals geprüften Privatunternehmen erlauben, offensive Cyberoperationen durchzuführen - Spionage, das Einschleusen von Spähsoftware und die Zerstörung fremder Daten und Systeme. Ziel sind internationale kriminelle Gruppen und Hacker. Die Entscheidung wurde am Mittwoch in einem Präsidialmemorandum veröffentlicht.

Die bisherige Position der USA war über mehrere Regierungen hinweg einfach: Der Privatsektor darf sich verteidigen, aber nicht angreifen. Die amerikanischen Computerstrafgesetze gelten für Firmen genauso wie für jeden Bürger, und ein Angriff ohne richterliche Erlaubnis ist eine Straftat. Mit einer Unterschrift fiel diese Wand.

Eine Million Dollar Kaution als Garantie für gutes Benehmen

Der Mechanismus ist so interessant wie die Entscheidung. Ein Unternehmen, das teilnehmen will, muss eine Million Dollar hinterlegen und verliert sie, wenn die Regierung feststellt, dass es die Regeln nicht einhält. Jede Operation braucht die Unterschrift des Justizministeriums und von Homeland Security. Ziele dürfen weder Amerikaner noch Systeme in den USA sein. Entdeckt die Firma, dass ein Angriff auf amerikanische kritische Infrastruktur bevorsteht - Stromnetz, Wasserversorgung -, muss sie die Regierung informieren.

Die Richtlinien, wer hinein darf, kommen in den nächsten zwei Monaten. Das Memorandum sagt ausdrücklich, es würden Firmen jeder Größe geprüft, auch kleine - sie eigneten sich angeblich besser für spezialisierte Operationen. Lesen Sie das noch einmal: eine kleine Privatfirma, mit einer Million Dollar Kaution und der Erlaubnis, in fremde Systeme einzudringen.

Wer haftet, wenn es schiefgeht

Jake Williams, Branchenveteran und Vizepräsident für Forschung und Entwicklung bei der Cybersicherheitsfirma Hunter Strategy, nannte die Politik „halbgar”. Sein Haupteinwand ist nicht technisch, sondern weit bodenständiger: „Amerikaner, die an diesen Operationen teilnehmen, könnten auf Auslandsreisen leicht als Kombattanten ohne Uniform eingestuft werden.”

Und er fügt etwas noch Schärferes hinzu - der Vorwurf muss nicht einmal zutreffen. Die Politik selbst schafft die Deckung für jede ausländische Regierung, jeden amerikanischen Sicherheitsexperten anzuklagen, der ihr in die Hände fällt. Genau das, was amerikanische Staatsanwälte seit Jahren mit chinesischen, iranischen und russischen Staatshackern tun, kann nun zurückkommen - nur trifft es diesmal einen Angestellten einer Privatfirma.

Das Memorandum erlaubt allerdings kein eigenmächtiges „Zurückschlagen”. Doch Kritiker warnen seit Jahren vor demselben: Führt eine Privatfirma unter staatlicher Aufsicht einen Angriff aus, sieht die getroffene ausländische Regierung keine Firma - sie sieht einen Staat. Und reagiert entsprechend.

Der Kontext, der die Eile erklärt

Die Regierung nannte keinen Grund, sondern nur eine „wachsende Bedrohung”. Der Grund ist auch ohne offizielle Erklärung sichtbar. Mehr als zehn US-Bundesstaaten, darunter Michigan, Minnesota und Georgia, melden Einbrüche in lokale Wasserversorgungssysteme, die Geheimdienste inoffiziell von der iranischen Regierung unterstützten Hackern zuschreiben. Bislang war keine Warnung zur Trinkwassersicherheit nötig.

All das kommt nach Monaten Krieg zwischen den USA und Israel auf der einen und Iran auf der anderen Seite, in dem auch der oberste Führer Irans getötet wurde. Das iranische Militär antwortete mit Raketen auf Rechenzentren in westlichem Besitz und mit Cyberangriffen, die amerikanische Unternehmen und Infrastruktur aktiv stören. Zugleich durchliefen die amerikanischen Bundesbehörden für Cybersicherheit eine Entlassungswelle.

Also: ein Staat, der seinen eigenen Sicherheitsapparat verkleinert hat und ihn nun dem privaten Markt öffnet. Auf dem Balkan kennen wir dieses Modell unter anderem Namen - hat eine Institution keine Kapazität, wird die Arbeit „nach draußen” vergeben, und die Verantwortung zerstreut sich so weit, dass niemand sie mehr findet. Der Unterschied ist nur, dass der externe Auftragnehmer hier die Erlaubnis erhält, in Systeme fremder Staaten einzudringen.