Seit George W. Bush wurde unter jedem Präsidenten eine aktualisierte Nationale Cybersicherheitsstrategie vorgelegt. Das gehört nun einmal dazu und ändert sich in der Regel kaum.
Der Plan der Biden-Regierung, „ “, der im März unter veröffentlicht wurde und dessen Ziel es ist, bis zum Frühsommer einen nachfolgenden Umsetzungsplan vorzulegen, bricht jedoch mit seinem proaktiven Ansatz der „vorausschauenden Verteidigung“ mit bisherigen Konventionen.
Im Gegensatz zu früheren Ansätzen, die eher reaktiver Natur waren, befasst sich der jüngste Plan des Weißen Hauses mit hochkarätigen Datenlecks und Ransomware-Angriffen , die von feindlich gesinnten Staaten ausgehen, und setzt dabei auf eine Kombination aus offensiven und defensiven Maßnahmen. Das Dokument soll als allgemeine Leitlinie für die Maßnahmen des Bundes im Bereich der Cybersicherheit dienen und würde zudem private Unternehmen mit verbindlichen Richtlinien ausstatten, an die sie sich halten müssen.
Im Einzelnen gliedert sich die Strategie in fünf Säulen:
- kritische Infrastruktur.
- -Angreifer zerschlagen und unschädlich machen.
- Gestalten Sie die Marktkräfte im Bereich „ “, um Sicherheit und Widerstandsfähigkeit zu fördern.
- Investieren Sie in eine widerstandsfähige Zukunft.
- e Partnerschaften aufbauen, um gemeinsame Ziele zu verfolgen.
Auch wenn die Worte auf den ersten Blick unscheinbar wirken mögen, sind die darin enthaltenen Konzepte alles andere als das.
Insbesondere stützt sich die Vorstellung, dass die Regierung darauf hinarbeitet, Bedrohungsakteure zu stören und zu zerschlagen, auf mehrjährige – kontroverse und bahnbrechende – Diskussionen des U.S. Cyber Command des Verteidigungsministeriums. Hier diskutierten Experten eine neue Strategie, um Hackern die Initiative zu entziehen und sie weltweit durch „, persistent engagement“ sowie partnerschaftliche Maßnahmen zu verfolgen. Das US-Verteidigungsministerium definiert „persistentes Engagement“ als „vorausschauende Verteidigung“, um böswillige Cyberaktivitäten bereits an ihrer Quelle zu unterbinden, einschließlich solcher Aktivitäten, die unterhalb der Schwelle eines bewaffneten Konflikts liegen. Wird also ein Gerät, ein Netzwerk, eine Organisation oder ein feindlicher Staat als Bedrohung für US-amerikanische Netzwerke und Institutionen identifiziert oder greift dieser aktiv im oder über den Cyberspace an, „muss er damit rechnen, dass die Vereinigten Staaten als Reaktion darauf Konsequenzen nach sich ziehen“, heißt es in einem Factsheet des U.S. Cyber Command mit dem Titel „ “ ().
Neben solchen Störungen und Demontagen zielt die Strategie des Weißen Hauses auch darauf ab, die Spielregeln im Bereich der Cybersicherheit zu verändern, indem offen angedeutet wird, dass der Technologiesektor mehr tun muss, um seine Produkte und Dienstleistungen zu sichern. Über diese Säulen hinaus zeichnet sich der Plan auch dadurch aus, dass er einen ganzen Abschnitt über Möglichkeiten zu seiner Umsetzung enthält.
„ [Bidens neuer Cybersicherheitsplan] ist weitaus detaillierter, enthält einige fortschrittlichere politische Ideen und ist bereit für die Umsetzung.“Glenn Gerstell, ehemaliger Leiter der Rechtsabteilung der National Security Agency
Bestimmte Elemente der Strategie – insbesondere jene, die darauf hindeuten, dass der Privatsektor mit strengeren Vorschriften rechnen müsste, sollte er nicht auf den Zug der Cybersicherheit aufspringen – würden Bundesgesetze erfordern, um wirklich Wirkung zu entfalten. In dieser Zeit politischer Spaltung könnte dies eine Herausforderung darstellen. Insgesamt sind jedoch viele Branchenbeobachter der Ansicht, dass Ereignisse wie die Hackerangriffe auf die „ “, die „Colonial Pipeline“ und sowie auf „SolarWinds“ die Alarmglocken hinsichtlich zunehmender Cyberbedrohungen geläutet haben, sodass nun beide Seiten des politischen Spektrums zum Handeln motiviert sind. Daher könnte dieser jüngste nationale Sicherheitsplan zu gewissen tatsächlichen Veränderungen führen.
„Es ist weitaus detaillierter, enthält einige weitergehende politische Konzepte und ist darauf ausgerichtet, in die Praxis umgesetzt zu werden“, sagt Glenn Gerstell, ehemaliger Leiter der Rechtsabteilung der National Security Agency (NSA). „Frühere Regierungen haben Strategien verabschiedet, die nicht auf eine Umsetzung ausgelegt waren.“ „Dieses hier war es.“
Der Aufstieg des beständigen Engagements
In gewisser Hinsicht begann die Umsetzung bereits lange bevor das Weiße Haus seinen Plan veröffentlichte. So führten beispielsweise drei Monate, bevor im vergangenen Februar russische Panzer in die Ukraine einmarschierten, US-Streitkräfte gemeinsam mit Angehörigen des ukrainischen Cyberkommandos eine der ersten dokumentierten „Hunt-Forward“-Operationen durch.
Solche Partnerschaften zur langfristigen Einbindung wurden seitdem mindestens 44 Mal in 22 Ländern geschlossen, darunter Estland, Litauen, Kroatien, Montenegro und Nordmazedonien.
Es liegen nur wenige Einzelheiten zu den Ergebnissen dieser Kampagnen vor, und es ist unklar, ob diese jemals über reine Erkundungsmissionen hinausgingen und darauf abzielten, bestimmte Hackergruppen oder -netzwerke zu zerschlagen oder zu zerstören. Eine vorbereitete Stellungnahme von Generalmajor William Hartman von der US-Armee – nachdem US-Cybersicherheitsexperten drei Monate lang in Albanien im Einsatz waren, um auf mutmaßliche iranische Cyberangriffe auf Regierungssysteme zu reagieren – deutet jedoch darauf hin, dass dies der Fall war.
„Wenn wir eingeladen werden, in den Netzwerken eines Partnerlandes nach Bedrohungen zu suchen, sind wir in der Lage, die heimtückischen Aktivitäten eines Angreifers im Cyberspace aufzudecken und diese Informationen an unseren Partner weiterzugeben, damit dieser entsprechende Maßnahmen ergreifen kann“, erklärte Hartman unter. „Wir können unseren Gegnern somit Schaden zufügen, indem wir ihre Werkzeuge, Taktiken und Vorgehensweisen aufdecken, und die Cybersicherheitslage unserer Partner und Verbündeten verbessern.“
Diese Partnerschaften sind nicht nur für Regierungen von großem Nutzen. Auch die Privatwirtschaft kann davon profitieren. Im Falle der Operation in Albanien soll das „Hunt Forward“-Team Berichten zufolge die von ihm aufgedeckten Informationen sowohl an die albanische Regierung als auch an private Unternehmen weitergegeben haben, die eine entscheidende Rolle in der digitalen Infrastruktur sowohl Albaniens als auch der USA spielen.
Verlagerung der Verantwortung auf den Technologiesektor
Neben einem proaktiveren Vorgehen zielt die Cybersicherheitsstrategie des Weißen Hauses auch darauf ab, Mindeststandards festzulegen, an die sich Technologieunternehmen bei der Entwicklung und Markteinführung von Produkten halten sollten.
„Ein freiwilliger Ansatz zur Sicherung [kritischer Infrastrukturen und Netzwerke] ist unzureichend.“Anne Neuberger, stellvertretende nationale Sicherheitsberaterin für Cyber- und neue Technologien
Einige Anbieter von Hightech-Hardware und -Software haben der Cybersicherheit bei der Produktentwicklung zweifellos eine gewisse Aufmerksamkeit gewidmet. Der Plan der Biden-Regierung sieht jedoch eine entschlossenere, branchenweite Initiative vor, als dies bisher der Fall war – denn die herkömmlichen Ansätze haben nicht zum gewünschten Ergebnis geführt.
„Die grundlegende Erkenntnis im Rahmen der Strategie ‚ ‘ lautet, dass ein freiwilliger Ansatz zum Schutz [kritischer Infrastrukturen und Netzwerke] unzureichend ist“, erklärte Anne Neuberger, stellvertretende nationale Sicherheitsberaterin für Cyber- und neue Technologien, im Rahmen einer Veranstaltung des Center for Strategic & International Studies.
Ohne dies direkt auszusprechen, scheint die Strategie damit zu drohen, Cybersicherheitsvorschriften einzuführen, um die Sicherheitslage der digitalen Umgebungen des Landes zu verbessern – etwas, wovor frühere Regierungen laut Gerstell zurückgeschreckt sind. Doch die Bedrohungslage habe sich so sehr verschärft, sagt er, dass das Aussprechen des „R“-Wortes nicht mehr das politische heiße Eisen sei, das es einst war.
„Vor drei oder vier Jahren hätten all diese Unternehmen, die von schweren Ransomware- oder anderen Cyberangriffen betroffen waren, mehr für ihre Cybersicherheit tun können, haben dies jedoch aus verschiedenen Gründen versäumt – unter anderem, weil die damit verbundenen Kosten oft unerschwinglich sind“, sagt Gerstell. „Zum ersten Mal erklärt also die Exekutive auf Bundesebene im Rahmen ihrer offiziellen Politik: ‚Wir müssen die Haftungsregelungen ändern, wir müssen das Wirtschaftssystem ändern, und wir brauchen mehr Regulierung.‘“
Warum eine Partnerschaft zwischen Biden und der Wirtschaft funktionieren kann
Matt Hayden, Vizepräsident von General Dynamics Information Technology und ehemaliger leitender Berater des Direktors der Cybersecurity and Infrastructure Security Agency (CISA), weist darauf hin, dass die Strategie des Weißen Hauses keine genauen Mindeststandards für die Cybersicherheitsbereitschaft von Produkten festlegt. Vielmehr, so sagt er, deute die Richtlinie darauf hin, dass Regierung und Wirtschaft zusammenarbeiten müssen, um zu ermitteln, welche Maßnahmen erforderlich sind, um die Auferlegung von Vorschriften oder eine rechtliche Haftung zu vermeiden.
„“ Um erfolgreich zu sein, müssen die Entscheidungsträger sowohl im Capitol Hill als auch in der Industrie … einen Mittelweg finden.“Matt Hayden, Vizepräsident bei General Dynamics Information Technology
„Es gibt kein bestehendes Partnerschaftsmodell, das dies zulässt“, sagt Hayden. „Um erfolgreich zu sein, müssen die Entscheidungsträger sowohl im Kapitol als auch in der Wirtschaft mit den Regulierungsbehörden aller Regierungsbereiche zusammenarbeiten, um einen Mittelweg zu finden, auf dem sie bestimmte Maßnahmen umsetzen können.“
Hayden fügt hinzu, dass Führungskräfte aus Wirtschaft und IT die Richtlinie des Weißen Hauses heranziehen können, um deutlich zu machen, dass Cybersicherheit bei allen Produktentwicklungs- und Marketingaktivitäten im Vordergrund stehen muss.
„Diese Strategie kann als echte Motivationsmaßnahme dienen, um mehr Menschen für diesen Kampf zu gewinnen“, sagt er.
Gerstell stimmt dem zu und erklärt, dass Unternehmen auf die üblichen Vorbehalte gegenüber möglichen Regulierungsmaßnahmen verzichten und sich stattdessen aktiv an der Bekämpfung von Cyberbedrohungen beteiligen sollten.
„Veröffentlichen Sie nicht einfach eine Pressemitteilung, in der Sie erklären, dass Sie von den Forderungen nach mehr Regulierung enttäuscht sind und dass die Privatwirtschaft durchaus in der Lage ist, diese Angelegenheit selbst zu regeln“, sagt er. „Arbeiten Sie mit der Regierung zusammen und tragen Sie dazu bei, Vorschriften mitzugestalten. Sie werden feststellen, dass die CISA ganz Ohr ist und Ihre Vorschläge gerne entgegennimmt.“
Die Zeit ist reif
Die Umsetzung der nationalen Cybersicherheitsstrategie könnte leicht ins Stocken geraten und zum Stillstand kommen. In Anbetracht dieser Möglichkeit wurde der Nationale Sicherheitsrat (NSC) mit der Umsetzung betraut, wobei er eng mit dem Amt für Verwaltung und Haushalt (OMB) und dem Amt des Nationalen Cyberdirektors (ONCD) zusammenarbeitet. Diese Stellen wären zudem dafür zuständig, gezielte Investitionen des öffentlichen und privaten Sektors so zu lenken, „dass sie mit dem Tempo des Wandels Schritt halten können, das dem Cyber-Ökosystem innewohnt“, heißt es abschließend in der Strategie.
Gerstell sagt, dass solche Bemühungen um den Kontakt zu Gesetzgebern auf überraschend positive Resonanz stoßen könnten.
„Dies ist eine durchdachte, sinnvolle Strategie, die genau zum richtigen Zeitpunkt kommt, da es ein aufgeschlossenes Publikum gibt“, sagt er. „Vor zehn Jahren hätte wohl jeder dieses Dokument betrachtet, mit den Schultern gezuckt und gesagt: ‚Das sieht nicht richtig aus.‘“ „Das brauchen wir nicht.“ Doch die Cyberlandschaft hat sich verändert. „Das richtige Timing ist entscheidend, nicht wahr?“
