Angesichts der heutigen weitreichenden Natur von Cyberbedrohungen – die internationale Grenzen überschreiten, die Grenzen digitaler Unternehmensdienste durchdringen und sich auf Lieferketten sowie öffentliche und private Infrastruktur ausweiten – reicht das traditionelle Modell einer einzigen, zentralen Behörde, die die Cyberabwehr verwaltet, nicht mehr aus.
Hier kommt das neue Modell der Cyberabwehr ins Spiel, das in den letzten Jahren bei europäischen Regierungen, Behörden und Institutionen zunehmend an Bedeutung gewonnen hat: eine zentralisierte Kommandostruktur, die dezentralisierte Maßnahmen steuert.
„Keine einzelne Behörde kann den Überblick über jeden Knotenpunkt in diesem riesigen digitalen Ökosystem behalten oder diesen kontrollieren“, erklärte Raymond Bierens, Vorsitzender der in den Niederlanden ansässigen Connect2Trust Foundation, in einem Exklusivinterview mit dem Focal Point von „ “.
Die Stiftung tauscht Bedrohungsinformationen mit den SecOps-Zentren großer öffentlicher Dienstleistungsorganisationen in der gesamten EU aus. Ihre Kooperationen und andere Initiativen spiegeln die zunehmende Erkenntnis wider, dass der Cyberbereich nicht nur bessere Werkzeuge, sondern auch ein intelligenteres, anpassungsfähigeres Betriebsmodell erfordert.
Dieses neue Modell ist im Wesentlichen eine weiterentwickelte Form des Führungs- und Kontrollkonzepts (C2), also der Standardprozesse und -systeme, die militärische Führungskräfte zur Entscheidungsfindung (Führung) nutzen und auf die sich andere bei der Umsetzung dieser Entscheidungen (Kontrolle) stützen. Die sich abzeichnende pragmatische Lösung ist ein Ansatz, bei dem Agilität, Zusammenarbeit und Widerstandsfähigkeit Vorrang vor starren Hierarchien haben – inspiriert von den Veränderungen in der militärischen Verteidigung und unterstützt durch die Tatsache, dass mittlerweile viele ehemalige Militärangehörige im Bereich der Cybersicherheit tätig sind.
Warum sollte man zu einem (zumindest teilweise) dezentralisierten Führungs- und Kontrollmodell übergehen?
Um die Vorteile der Dezentralisierung zu verstehen, ist es hilfreich, einen Blick zurück zu werfen – und zwar waaaay weit zurück – auf den historischen Wandel von zentralisierten zu dezentralisierten Modellen in der Kriegsführung.
“„Keine einzelne Instanz kann einen Überblick über jeden Knoten in diesem riesigen digitalen Ökosystem haben oder diesen kontrollieren.“Raymond Bierens, Vorsitzender der Connect2Trust Foundation
„Wenn wir einen Blick auf die napoleonische Ära werfen, war die Befehlsgewalt streng zentralisiert“, erklärte Dan Snape, ehemaliger Offizier der Royal Air Force und Befehlshaber für Cyberabwehr beim britischen Verteidigungsministerium, gegenüber dem „ “ Focal Point. „Man traute den Soldaten nicht zu, selbstständig zu denken; von ihnen wurde verlangt, den Befehlen eines Offiziers zu gehorchen, der ihnen genau vorschrieb, was sie wann zu tun hatten.“
Im Laufe der Jahrhunderte und mit der Weiterentwicklung der Kriegsführung – von den Weltkriegen bis hin zu den Konflikten der Gegenwart – setzte sich der Wandel von einer zentralisierten Befehlsgewalt hin zu einer dezentralisierten Ausführung durch. „Die Soldaten wurden so ausgebildet, dass man ihnen zutraute, die Lage selbst einzuschätzen und im Rahmen der vordefinierten Einsatzregeln der ‚ ‘ zu handeln“, fuhr Snape fort. „Es handelte sich um eine Form der übertragenen Befugnis zur Anwendung militärischer Gewalt.“
Snape, der mittlerweile Geschäftsführer des in London ansässigen Cybersicherheitsberatungsunternehmens Kaze ist, sieht die Vorteile, die Sicherheitsteams durch die Einführung eines ähnlichen Rahmenkonzepts nutzen können.
„Langsam ist geschmeidig, geschmeidig ist schnell“
Im Bereich der Cybersicherheit kann die Dezentralisierung der operativen Entscheidungsfindung und Umsetzung – sofern sie korrekt umgesetzt wird – für Flexibilität und Schnelligkeit sorgen.
„“Wenn es Ihnen gelingt, ausgereifte, leistungsstarke Teams aufzubauen, werden diese sich sicher genug fühlen, um die ihnen angebotene Eigenverantwortung anzunehmen.“Dan Snape, ehemaliger Leiter der Cyberabwehr beim britischen Verteidigungsministerium und derzeit Geschäftsführer bei Kaze
„Wenn es Ihnen gelingt, ausgereifte, leistungsstarke Teams aufzubauen, werden diese sich sicher genug fühlen, um die ihnen angebotene Eigenverantwortung anzunehmen“, sagte Snape. „Die Prozesse, die Technologie und die Daten sind die Waffensysteme, die diesen Teams zur Verfügung stehen. Schnelligkeit entsteht durch bewusste Entscheidungsfindung und Umsetzung. „Es klingt seltsam, aber ‚langsam ist geschmeidig, geschmeidig ist schnell‘“, fügte er hinzu und bezog sich dabei auf ein Motto der Spezialeinheiten des Militärs, das die Bedeutung bedächtiger, eingespielter Handlungen hervorhebt.
A smooth process, in C2 cyberdefense terms, means intel from local entities getting collected and analyzed in a central SecOps center and immediately fed back to all other local entities, allowing for timely reaction to threats.
Allerdings bringt die Dezentralisierung auch ihre eigenen Herausforderungen mit sich und könnte sogar zu operativen blinden Flecken führen.
„Dass zwei Abteilungen jeweils eine Risikobewertung durchführen, bedeutet nicht, dass deren Ergebnisse vergleichbar sind“, sagte Bierens. „Sie benötigen Interoperabilität sowohl innerhalb als auch über die Hierarchie hinweg, um sicherzustellen, dass Sie eine kollektive Einsatzbereitschaft erreichen.“
Auch kulturelle Faktoren stellen nach wie vor ein großes Hindernis für den Aufbau ausgereifter, leistungsstarker Teams dar. Vielen zivilen Behörden fehlt die auf den Auftrag ausgerichtete Arbeitskultur, die in Verteidigungsinstitutionen tief verwurzelt ist. „Diese Herausforderungen werden noch dadurch verschärft, dass manche nach wie vor der Ansicht sind, Cybersicherheit sei … das Problem anderer“, sagte Dan Jones, ehemaliger Leiter des Cyber-Delivery-Teams im britischen Verteidigungsministerium und heute leitender Sicherheitsberater bei Tanium (dem Herausgeber dieses Magazins). „. Um diese Lücke zu schließen, bedarf es kontinuierlicher Weiterbildung und Führungsstärke.“
Trotz dieser Herausforderungen veranlassen die jüngsten geopolitischen Ereignisse und die zunehmende Bedrohung durch Nationalstaaten Organisationen sowohl im öffentlichen als auch im privaten Sektor dazu, sich auf die Leitlinien und bewährten Verfahren ihrer nationalen Streitkräfte zu stützen (wenn nicht gar dazu zu zwingen).
Wie ein hybrider Ansatz die Vorteile einer dezentralen Führungs- und Kontrollstruktur verstärkt (unter Beibehaltung einer zentralen Struktur)
Ein hybrides Kommando- und Kontrollmodell ermöglicht es Regierungen, Kernfunktionen – wie den Austausch von Erkenntnissen, die Beziehungen zu Lieferanten und die Beschaffung bedeutender Technologien – zentral zu skalieren und gleichzeitig die Flexibilität der lokalen Einsatzteams zu wahren. „Es muss nicht von oben bis unten zentralisiert sein“, sagte Snape. „Zunächst müssen Sie sich die Zeit nehmen, diese Bedrohung zu definieren und Ihre eigenen Fähigkeiten einzuschätzen. „Erst dann werden Sie in der Lage sein, ein Gleichgewicht zwischen einer zentralisierten strategischen Steuerung und der mit einer dezentralisierten Umsetzung einhergehenden Handlungsgeschwindigkeit herzustellen.“
“[In vielen zivilen Unternehmen] werden die Herausforderungen noch dadurch verschärft, dass manche nach wie vor der Ansicht sind, Cybersicherheit sei … das Problem anderer.“Dan Jones, leitender Sicherheitsberater bei Tanium
„Zusammenarbeit ist entscheidend“, sagte Bierens und bezog sich dabei auf den Informationsaustausch über „ Connect2Trust “, der es den Chief Information Security Officers () sowie deren SecOps-Zentren ermöglicht, freiwillig in einem vertrauenswürdigen Umfeld zusammenzuarbeiten. Europäische Vorschriften zu haben, ist eine Sache, sie jedoch in verschiedenen Ländern umzusetzen, ist eine ganz andere. So wurde beispielsweise die Richtlinie „ “ (Richtlinie NIS2 ) – ein EU-Regelwerk, das große Organisationen dazu verpflichtet, ihre Sicherheitslage zu verbessern – in 27 verschiedene nationale Gesetze umgesetzt, was möglicherweise nicht die effizienteste Vorgehensweise darstellt.
Erfolg hängt von einer gemeinsamen Doktrin, aufeinander abgestimmten Anreizen und einem gemeinsamen Bewusstsein ab.
„Wir haben daraus eine Lehre gezogen [aus den USA]“ „General Stanley McChrystals Idee eines ‚-Teams der Teams‘“, sagte Snape. Der inzwischen im Ruhestand befindliche General entwickelte dieses Konzept, während er die US-Streitkräfte im Irak befehligte – als er erkannte, dass traditionelle hierarchische Strukturen mit der Geschwindigkeit und Anpassungsfähigkeit dezentraler terroristischer Netzwerke nicht Schritt halten konnten, baute er Silos ab und förderte eine Kultur des gemeinsamen Bewusstseins und der eigenverantwortlichen Umsetzung über alle Einheiten hinweg. „Auf der Grundlage desselben Konzepts haben wir kleine, eigenverantwortliche Teams aufgebaut, die ihre Aufgabe kennen, dieselben Werkzeuge und dieselben Vorgehensweisen nutzen und über die nötige Autonomie verfügen, um schnell zu handeln“, sagte Snape.
Eine derartige Zusammenarbeit findet zwischen verschiedenen staatlichen Stellen statt, doch gibt es auch Beispiele aus der Privatwirtschaft, da immer mehr Angreifer ihre wirtschaftlichen und geopolitischen Interessen im Cyberspace verfolgen. Ein typisches Beispiel: Die multinationalen Unternehmen Allianz SE, BASF SE, Bayer AG und Volkswagen AG haben sich im Jahr 2015 in Deutschland zusammengeschlossen und die Deutsche Cyber-Sicherheitsorganisation ( , DCSO) ins Leben gerufen, um organisierter Cyberkriminalität und staatlich gelenkter Industriespionage entgegenzuwirken.
Experten rechnen mit einer Zunahme solcher Kooperationsbemühungen, insbesondere da böswillige Akteure die Möglichkeiten der KI nutzen, um schnellere und unerbittlichere Cyberangriffe durchzuführen.
Genau wie bei der KI passen sich nicht nur die Verteidiger an: Aktuelle Malware-Varianten wie TransferLoader und Skitnet zeigen, wie Cyberkriminelle dezentrale Command-and-Control-Strategien einsetzen, um ihre Widerstandsfähigkeit zu erhöhen und einer Entdeckung zu entgehen. TransferLoader nutzt das dezentrale InterPlanetary File System (IPFS), um den Betrieb auch dann aufrechtzuerhalten, wenn sein Hauptserver außer Betrieb gesetzt wird, während Skitnet DNS-basierte Kommunikation in einer modularen Struktur einsetzt, um unentdeckt zu bleiben. Eine Welle von „ “-Ransomware-Angriffen auf den britischen Einzelhandel im vergangenen Mai verdeutlichte dezentrale Taktiken, mit denen sich die Ransomware schnell und unvorhersehbar über Systeme verbreiten konnte.
Festlegung von Rollen, Zuständigkeiten und Befugnissen
In einem dezentralen (oder föderierten) Modell der Cyberabwehr stellt die Zuweisung von Befugnissen eine der größten Herausforderungen dar. „Wenn Sie zu viel vorschreiben“, warnte Jones, „laufen Sie Gefahr, Eigeninitiative zu ersticken.“ Stattdessen tendiert die europäische Praxis eher zu flexiblen Strukturen, zu Koalitionen der Willigen, die auf Vertrauen und gegenseitigem Nutzen beruhen.
“„Wir haben kleine, eigenverantwortliche Teams aufgebaut, die ihre Aufgabe kennen, dieselben Werkzeuge und dieselben Vorgehensweisen nutzen und über die nötige Autonomie verfügen, um schnell zu handeln.“Snape
„Die erfolgreichsten Projekte entstehen oft von unten nach oben“, fügte Bierens hinzu. „Man muss lediglich diejenigen ausfindig machen, die den Mut haben, über ihre Erfolge und Herausforderungen zu berichten, damit andere daraus lernen können und das Rad nicht neu erfinden müssen.“
Der größte Feind des Fortschritts ist eine verstärkte Konzentration auf die Einhaltung von Vorschriften und Kontrollen. „Untersuchungen zeigen, dass sich das Management digitaler Risiken deutlich vom Compliance-Management unterscheidet“, sagte Bierens, „da Ersteres ein föderiertes Modell ermöglicht, während Letzteres jegliches Verantwortungsbewusstsein auf taktischer und operativer Ebene zunichte macht.“ Eine pragmatische Haltung nach dem Motto „Weitermachen, bis der Täter gefasst ist“ – wie sie in Verteidigungskreisen üblich ist – kann im Bereich der Cybersicherheit überraschend wirksam sein.
Die Rolle von KI und Automatisierung
Wie bei so vielen anderen Operationen werden „ “ sowie KI und Automatisierung es dezentralen Kommando- und Kontrollzentren ermöglichen, in großem Maßstab zu operieren. Snape sieht eine Zukunft, in der KI-Lösungen von „ “ die Cybersicherheits-Toolkits grundlegend neu gestalten und dabei insbesondere drei Schlüsselrollen übernehmen: die Erweiterung des Betriebs von Sicherheitszentralen (SOC), die Beschleunigung der Entscheidungsfindung auf Führungsebene sowie die Optimierung der Beschaffungsprozesse. „Wenn KI Vorfälle zusammenfassen, Optionen simulieren und Maßnahmen empfehlen kann, lassen sich Entscheidungszyklen drastisch verkürzen“, sagte er. „Nur so können wir mit Gegnern Schritt halten, die sich nicht an dieselben ethischen Regeln halten wie wir.“
“Jedes Unternehmen ist grenzüberschreitend tätig, genau wie der Großteil des Internets selbst. Bedrohungen sind grenzüberschreitend. Dennoch reagieren wir nach wie vor mit nationalen Gesetzen und Institutionen.”Bierens
Im Grunde genommen macht KI menschliche Aufsicht nicht überflüssig; sie stellt vielmehr höhere Anforderungen an die Führungskräfte. Strategische Entscheidungsträger müssen über ausreichende technische Kenntnisse verfügen, um hybride Führungs- und Kontrollmodelle zu verstehen und die entsprechenden Fähigkeiten effektiv einzusetzen.
Ein europäischer Kontext mit globaler Bedeutung
Diese Entwicklungen in der EU haben globale Auswirkungen. In einer vernetzten Welt hängt die Cyber-Resilienz von der Abstimmung zwischen dem öffentlichen und dem privaten Sektor, einer zentralisierten Steuerung sowie lokalen Initiativen ab. Wie Bierens feststellte: „Jedes Unternehmen ist grenzüberschreitend tätig, genau wie der größte Teil des Internets selbst.“ Bedrohungen sind grenzüberschreitend. „Dennoch reagieren wir nach wie vor mit nationalen Gesetzen und Institutionen.“
[Lesen Sie auch: So orientieren Sie sich im KI-Gesetz der EU – beginnen Sie mit Ihrem Risikograd]
Die kürzlich im Vereinigten Königreich veröffentlichte „Strategische Verteidigungsüberprüfung“ ( ) liefert eines der bislang deutlichsten Signale dafür, dass dieser Ansatz nicht nur Theorie ist – er entwickelt sich zur Doktrin.
Diese „ 2025 Strategic Defence Review“ unterstreicht den Wert einer zentralisierten Führung bei dezentraler Umsetzung, insbesondere durch die Schaffung des „ en Cyber- und Elektromagnetischen Kommandos“ (). Dieses Modell betrachtet die digitale Landschaft als ein vielschichtiges, voneinander abhängiges Ökosystem, das eine enge Zusammenarbeit nicht nur innerhalb der Verwaltung, sondern auch mit der Wirtschaft erfordert – und zwar über die Bereiche Technologie, Betriebsabläufe und Personal hinweg.
Der SDR erkennt zudem den Wandel hinsichtlich des Ausmaßes und der Komplexität von Bedrohungen sowie die Bedeutung gemeinsamer Cybersicherheitsstrategien an. Die anhaltenden Investitionen des Vereinigten Königreichs in dieses Hybridmodell sind ein klarer Beweis für dessen Wirksamkeit in der modernen digitalen Verteidigung.
Bis dahin geht es eher um Fortschritt als um Perfektion. „Warten Sie nicht auf das perfekte Modell“, riet Snape. „Denken Sie groß, fangen Sie klein an und handeln Sie schnell, um Mehrwert zu schaffen und Vertrauen aufzubauen.“ „Handeln ist der einzige wahre Maßstab für Erfolg.“
