Suchergebnisse

(Un)-Sicherheit ist immer eine Frage der Interpretation. Durch politische Sprache werden Bedrohung und Unsicherheit gezielt konstruiert, so dass sich Gesetze legitimieren lassen, die andernfalls kaum mehrheitsfähig wären. Am Beispiel der politischen Debatten um die Einführung der Vorratsdatenspeicherung und der Online-Durchsuchung (BKA-Gesetz) untersucht Matthias Schulze den sicherheitspolitischen Diskurs nach eben solchen Bedrohungskonstruktionen. Wer sind dabei die zentralen Unsicherheitsproduzenten und wie gehen sie vor? Wie werden Unsicherheit und Bedrohung sprachlich konstruiert, um damit

Im Vorfeld des russischen Einmarsches in der Ukraine befürchteten Analyst:innen schwerwiegende Cyber-Angriffe etwa gegen kritische Infrastrukturen, die so Strom oder Kommunikationsnetze abschalten könnten. Größere destruktive Cyber-Vorfälle sind bisher im Kontext des Krieges nicht eingetreten. Das Cyber-Konfliktbild ist von gezielten Angriffen, Cyber-Spionage und den störenden Tätigkeiten von pro-russischen oder pro-ukrainischen Hacktivist:innen gekennzeichnet. Insgesamt haben diese Angriffe jedoch kaum Effekte im Krieg auf dem Boden und in der Luft. Es werden fünf Gründe für das Ausbleiben schwerwiegenderer Cyber-Angriffe genannt: erstens eine gute Defensive der Ukraine, zweitens eine unklare Datenlage, drittens überzogene Erwartungen an ein »Cyber-Pearl Harbor«-Szenario, viertens staatliche Zurückhaltung und fünftens die hohe wechselseitige Verwundbarkeit.

Im Vorfeld des russischen Einmarsches in der Ukraine befürchteten Analyst:innen schwerwiegende Cyber-Angriffe etwa gegen kritische Infrastrukturen, die so Strom oder Kommunikationsnetze abschalten könnten. Größere destruktive Cyber-Vorfälle sind bisher im Kontext des Krieges nicht eingetreten. Das Cyber-Konfliktbild ist von gezielten Angriffen, Cyber-Spionage und den störenden Tätigkeiten von pro-russischen oder pro-ukrainischen Hacktivist:innen gekennzeichnet. Insgesamt haben diese Angriffe jedoch kaum Effekte im Krieg auf dem Boden und in der Luft. Es werden fünf Gründe für das Ausbleiben schwerwiegenderer Cyber-Angriffe genannt: erstens eine gute Defensive der Ukraine, zweitens eine unklare Datenlage, drittens überzogene Erwartungen an ein "Cyber-Pearl Harbor"-Szenario, viertens staatliche Zurückhaltung und fünftens die hohe wechselseitige Verwundbarkeit.

Homomorphe Verschlüsselung stellt einen nächsten Evolutionsschritt der Kryptografie dar. Mit dieser Technologie können Datenbanken erstmals verschlüsselt genutzt werden. Auch eröffnen sich mit ihr zahlreiche neue Möglichkeiten im Bereich Multi-Cloud-Computing und Machine Learning. Zudem hat homomorphe Kryptografie politische Implikationen. Die Technologie ist zentral für die Sicherheitspolitik, etwa beim Datenaustausch zwischen Sicherheitsbehörden. Neue Multi-Cloud-Geschäftsmodelle könnten zudem neue Abhängigkeiten erzeugen, etwa von den USA, wo bereits an einer Standardisierung gearbeitet wird. Um nicht abgehängt zu werden, sollte die EU die Anwendungsforschung fördern und homomorphe Verschlüsselung bei den Planungen für die eigene Cloud-Initiative Gaia-X frühzeitig miteinbeziehen.

Während Ransomware-Angriffe immer professioneller werden, haben viele Organisationen grundlegende IT-Sicherheitshausaufgaben noch immer nicht gemacht. Aufgrund der effektiven Untergrundökonomie der Cyber-Kriminellen ist dem Problem auch nicht mehr allein mit technischen Maßnahmen beizukommen. Die neue Bundesregierung sollte es mit erhöhter Priorität und einer gesamtstaatlichen Perspektive angehen. Neben Präventionsmaßnahmen sollten auch für Organisationen in der Breite Pläne zur Reaktion und Wiederherstellung erstellt werden. Außerdem ließen sich Instrumente nutzen, die etwa bei der Bekämpfung von organisierter Kriminalität, Terrorismus oder Finanzkriminalität und sogar in der Entwicklungshilfe eingesetzt werden. Schließlich müssten multilaterale Initiativen zur Eindämmung von Cyber-Kriminalität und Geldwäsche mit Kryptowährungen gestärkt werden.

Offensive Militärische Cyber-Operationen (OMCO) sind - anders als in populären Darstellungen oft behauptet - keine Allzweckwaffe. Sie unterliegen zahlreichen strategischen, operativen und taktischen Begrenzungen, die sie für bestimmte Einsatzszenarien ungeeignet erscheinen lassen. Deutschland sollte auch in Zukunft daran festhalten, keine strategischen OMCO zu planen und zu entwickeln. Der strategische Einsatz von OMCO ist operativ zu aufwendig, extrem risikobehaftet und zudem der globalen Sicherheit des Cyber- und Informationsraums unzuträglich. Sehr limitierte und überschaubare Cyber-Operationen zur sequenziellen Begleitung von Kampfeinsätzen können bei hochtechnisierten Gegnern sinnvoll sein. Der größte Nutzen von OMCO liegt in ihrer Spionagefunktion und weniger in disruptiven, zerstörerischen militärischen Effekten. Für das typische Einsatzprofil der Bundeswehr, nämlich Konfliktmanagement in wenig digitalisierten Regionen mit schwacher Staatlichkeit, dürften militärische Cyber-Operationen nur in wenigen Fällen einen militärischen Nutzen haben. Um effektiv zu sein, müssen OMCO auf Ziele exakt zugeschnitten sein. Bei einem OMCO-Einsatz zur Landesverteidigung müssen daher schon im Vorfeld und noch zu Friedenszeiten Zielinformationen beim potentiellen Gegner erhoben worden sein - mittels offensiver Cyber-Spionage in fremden Netzen. Diese Präemptionslogik erzeugt aber ein Sicherheitsdilemma bei potentiellen Gegnern und kann destabilisierend wirken.

Although the threat of cyber-conflict is rising at the moment, not much ground has been gained with cyber arms control regimes. The article analyses proposals for cyber arms control, modelled after traditional arms control regimes. It finds that challenges of the digital domain, issues of regime verification and the lack of political will are big inhibitors in transferring these to the cyber-domain. To overcome these inhibitors, cyber-experts proposed a new type of regime focusing on Zero-day vulnerabilities. Since nobody so far explained how a so-called International Vulnerabilities Equities Process (IVEP) could look like, the article picks up the task, and presents two models with their advantages and shortcomings. The article concludes that the IVEP proposal holds some promise, but due to many open questions, it is currently not feasible as a policy option.

Sicherheitslücken in Hard- und Software sind ein globales, kollektives Problem der Cyber-Sicherheit. Durch die fortschreitende Digitalisierung der Lebenswelt und digitale Rüstungswettläufe steigt die Verwundbarkeit, vor allem der Industriestaaten. Gleichzeitig beharren offensive Cyber-Akteure darauf, dass die Ausnutzung unbekannter sogenannter 0-Day-Sicherheitslücken für militärische Cyber-Operationen, aber auch zum Zweck der Spionage und der Strafverfolgung essentiell sei. Ein konstruktiver Umgang mit diesem Offensiv-defensiv-Dilemma, das sich für die Staaten beim Handling von 0-Day-Sicherheitslücken auftut, findet bisher in der deutschen Cyber-Sicherheitspolitik nicht statt. Die Bundesregierung sollte eine proaktivere Schwachstellen-Governance entwickeln. Sie sollte die Praxis der staatlichen Akquise und Verwendung von Sicherheitslücken überdenken, auf die Verkürzung der Lebenszeit von Schwachstellen hinarbeiten und die negativen Externalitäten einer offensiven Cyber-Sicherheitspolitik reflektieren. Deutschland und die EU sollten statt Geheimhaltung einen offeneren Umgang mit Schwachstellen kultivieren. Dazu gehört die Einführung verpflichtender Meldeprogramme für private und öffentliche Organisationen, die Bereitstellung von Bug-Bounty-Plattformen und die Regulierung schwarzer Schwachstellenmärkte.

Befürworter offensiver Cyber-Operationen argumentieren, dass sie abschreckend auf etwaige Cyber-Angreifer wirken könnten, da die Angreifer mit einem digitalen Gegenschlag rechnen müssten. Diese Vorstellung, die für die neue US Cyber-Doktrin von 2018 bestimmend war, schwingt implizit auch in der Debatte über digitale Gegenangriffe in Deutschland mit. Diesem Kalkül liegt jedoch eine verkürzte Vorstellung von Abschreckung zugrunde. Abschreckung per Androhung von Vergeltung funktioniert im digitalen Raum nach anderen Prinzipien als etwa nukleare Abschreckung. Probleme der Attribution, Demonstration, Kontrollierbarkeit und Glaubwürdigkeit digitaler Fähigkeiten erhöhen die Gefahr, dass Abschreckung scheitert. Daher wäre die deutsche Cyber-Sicherheitspolitik gut beraten, die defensive Cyber-Sicherheit und die Robustheit (Resilienz) von Systemen zu steigern.

Gegenwärtig werden wieder Forderungen nach einem Verbot illegaler Bereiche im Internet - sogenannter Dark Nets - laut. Im Entwurf des Bundesinnenministeriums für das neue IT-Sicherheitsgesetz soll das 'Zugänglichmachen von Leistungen zur Begehung von Straftaten' über internetbasierte Dienste unter Strafe gestellt werden. In der öffentlichen Wahrnehmung dominieren insbesondere die negativen Aspekte des Dark Nets: illegaler Waffen- und Drogenhandel, Cyber-Kriminalität und Kinderpornografie. Neuere Daten zeigen jedoch, dass die Bedrohungen, die vom Dark Net ausgehen, weitaus geringer sind als häufig angenommen. Daher ist zu fragen, ob ein Verbot dieser Technologie sinnvoll, ohne negative Kollateraleffekte umsetzbar und zudem verhältnismäßig ist. Statt das Dark Net als solches verbieten zu wollen, sollte der Fokus darauf gerichtet werden, in neuen Ermittlungstechniken zu schulen und die internationale Kooperation bei der Strafverfolgung zu intensivieren. Dies wäre eine nachhaltige Lösung, da diese Fähigkeiten auch im Kampf gegen das weitaus größere Problem - Cyber-Kriminalität im regulären Internet - von Nutzen wären.

Proponents of active, offensive cyber operations argue that they could have a deterrent effect on potential cyber attackers. The latter would think twice about attacking if a digital counter-attack might be the consequence. The idea that offensive cyber capabilities should have a deterrent effect was one reason why the new US cyber doctrine was adopted in 2018. The same assumption is implicit in the debate about cyber counterattacks ('hack backs') in Germany. Yet these assessments are based on a superficial understanding of deterrence. Cyber deterrence by the threat of retaliation works differently than that of nuclear deterrence. Problems of attribution, displays of power, controllability and the credibility of digital capabilities increase the risk of deterrence failure. Thus, the German cyber security policy would be well advised to increase its 'deterrence by denial', cyber security and the resilience of its systems.

This dissertation analyzes a normative change in state perception and political action towards the Internet. This change is currently reflected in certain measures aimed at the exercise of control and state sovereignty in and over cyberspace. These include phenomena such as the total surveillance of data streams and the extensive collection of connection data by secret services, the control (political censorship) and manipulation of information (information war) as well as the arms spiral around offensive cyber capabilities to disrupt and destroy information infrastructures. States face a loss of control that they want to compensate for. The phenomenon of the perceived loss of control and the establishment of a norm of control (filter and monitoring technology) is equally evident in various democratic and non-democratic states, as various studies show. This militarized perception of the Internet is remarkable in so far as Western politicians used to perceive the same Internet technology in the 1980s and 1990s in a completely different way. Back then the lack of state control was seen as desirable. Instead of controlling and monitoring all aspects of the Internet, a "hands-off" and laissez-faire idea dominated political behavior at the time: the possibilities of democratization through information technologies, the liberalization of authoritarian societies through technology and the free availability of global knowledge. The idea of national control over communications technology was considered innovation-inhibiting, undemocratic and even technically impossible. The topic of this work is the interaction between state power and sovereignty (e.g. political control through information sovereignty) and digital technologies. The research question is: Which process led to the establishment of norms of control and rule (surveillance, censorship, cyber-war) with regard to the medium Internet? Furthermore, the question arises: What are the implications of this change in standards for the fundamental functioning of the Internet? The aim is to examine in detail the thesis of the militarization of cyberspace empirically on the basis of a longitudinal case study using the example of Internet development in the USA since the 1960s. An interdisciplinary and multi-theoretical approach is chosen from constructivist norms research and the Social Construction of Technology approach.