Trump ermächtigt private Unternehmen zu offensiven Cyber-Operationen gegen ausländische Kriminelle

Politikwechsel

Präsident Donald Trump hat am Mittwoch, den 12. August, ein nationales Sicherheitsmemorandum unterzeichnet, das erstmals privaten Unternehmen erlaubt, offensive Cyber-Operationen gegen ausländische transnationale kriminelle Organisationen (TCOs) durchzuführen. Das Memorandum beauftragt das National Coordination Center (NCC), das unter der Homeland Security Task Force arbeitet, ein Programm zu entwickeln, das geprüften Unternehmen des Privatsektors ermöglicht, Cyber-Überwachungs- und Cyber-Effekt-Operationen gegen im Ausland ansässige kriminelle Gruppen durchzuführen. Die Ministerien für Justiz und Innere Sicherheit werden die Aufsicht übernehmen, wobei Co-Exekutivdirektoren beider Behörden die Bemühungen leiten.

Das dem Memorandum beigefügte Factsheet listet Ransomware, Sextortion-Schemata, Phishing-Kampagnen, Finanzbetrug und Identitätsdiebstahlsbetrug als zulässige Ziele auf. TCOs werden definiert als ausländische Gruppen, die Cyberkriminalität gegen die US-Regierung, US-Bürger oder US-Interessen verüben und weder institutioneller Teil einer ausländischen Regierung noch vollständig unter deren Leitung betrieben werden. Das Memorandum erlaubt teilnehmenden Unternehmen, Spyware zur Informationssammlung einzusetzen und Angriffe zu starten, die darauf abzielen, Daten und Systeme krimineller Netzwerke – einschließlich virtueller und physischer Infrastruktur – zu stören, zu manipulieren oder zu zerstören.

Schutzmaßnahmen und Anforderungen

Unternehmen, die teilnehmen möchten, müssen sich einer vom Memorandum als „rigorose Überprüfung“ bezeichneten Prozedur unterziehen und Mindeststandards für technische Kompetenz, nachgewiesene Leistung bei Cyber-Operationen und Sicherheit der Einrichtungen erfüllen. Sie müssen Verträge mit sowohl dem DOJ als auch dem DHS unterzeichnen und eine Kaution oder Treuhand in Höhe von 1 Million Dollar hinterlegen, die verfällt, wenn sie sich nicht an die Weisungen der Regierung halten. Keine Operation darf ohne schriftliche Genehmigung von Beamten beider Ministerien durchgeführt werden, und es werden keine Operationen genehmigt, bis die Exekutivdirektoren von DOJ und DHS mit dem Homeland Security Council des Weißen Hauses „Konsensverfahren“ festgelegt haben, die eine „vollständige Aufsicht und Kontrolle der Leistung der teilnehmenden Unternehmen“ gewährleisten. Diese Verfahren sollen innerhalb von 60 Tagen ausgearbeitet werden.

Die Politik verbietet ausdrücklich Operationen, die wahrscheinlich zu Todesfällen, schweren Verletzungen oder Handlungen führen, die nach internationalem Recht die Schwelle der Gewaltanwendung oder eines bewaffneten Angriffs erreichen. Das Memorandum weist die Regierung außerdem an, Verfahren zu schaffen, die verhindern, dass eine Operation Amerikaner oder in den USA ansässige Systeme angreift. Leitlinien, die in den nächsten zwei Monaten herausgegeben werden, sollen die Anforderungen für Unternehmen aller Größen umreißen, einschließlich kleinerer Firmen, die möglicherweise besser für spezialisierte Operationen geeignet sind.

Bedenken von Experten

Mehrere Cybersicherheitsexperten äußerten Bedenken hinsichtlich der Risiken des Programms. Jason Healey, ein leitender Cyberkonfliktforscher an der Columbia University, sagte, dass jeder, der diese Operationen durchführt, einem erheblichen persönlichen rechtlichen Risiko ausgesetzt sei. Jake Williams, Vizepräsident für Forschung und Entwicklung bei Hunter Strategy, warnte, dass teilnehmende Amerikaner auf Reisen ins Ausland als nicht uniformierte Kombattanten eingestuft werden könnten.

Ben Bernstein, Manager des Cybersicherheitsberaterteams bei Huntress, wies auf die praktische Schwierigkeit hin, Kriminelle zu bekämpfen, die ihren Datenverkehr über kompromittierte, unschuldige Infrastruktur leiten, wie etwa einen anfälligen Router in einer Zahnarztpraxis in Ohio oder ein Krankenhausnetzwerk.

Das macht es praktisch unmöglich, „zurückzuschlagen“, ohne unschuldige Unbeteiligte zu treffen.

Politischer Kontext

Das Memorandum baut auf einer im März veröffentlichten nationalen Cybersicherheitspolitik auf, die versprach, „den Privatsektor gegen ausländische Gegner zu entfesseln“. Es kommt auch zu einem Zeitpunkt, an dem die Trump-Administration die Größe der Cybersecurity and Infrastructure Security Agency (CISA) reduziert hat, was Mitglieder der Geheimdienstgemeinschaft dazu veranlasst hat, für die Einbeziehung von mehr Kapazitäten des Privatsektors – einschließlich KI-Unternehmen – zu plädieren. Der Senator von Utah, Mike Lee, hat letztes Jahr einen Gesetzesentwurf eingebracht, um „Kaperbriefe und Repressalien“ wiederzubeleben, die historische verfassungsrechtliche Praxis, zivile Akteure zu ermächtigen, feindliche Ziele anzugreifen. Jeffrey Gray, ein CISA-Veteran, sagte, das Memorandum tue etwas, das seit Jahrhunderten nicht mehr getan wurde.

Die Vereinigten Staaten haben gerade die Kaperfahrt für das digitale Zeitalter wiederbelebt.