Die US-Regierung hat erstmals angekündigt, überprüften privaten Unternehmen die Beteiligung an offensiven Cyberoperationen gegen kriminelle Banden und internationale Hacker zu erlauben, und zwar auf Grundlage eines neuen präsidentiellen Memorandums. Dem Memorandum zufolge soll damit auf die Fähigkeiten des privaten Sektors zurückgegriffen werden, um Bedrohungen gegen Amerikaner zu bekämpfen, darunter Ransomware-Angriffe, Finanzbetrug und sexuelle Erpressung.
Die Politik stellt keine allgemeine Genehmigung für Unternehmen dar, eigenständig Angriffe durchzuführen. Das Memorandum sieht vielmehr vor, dass die Operationen ausschließlich unter der Aufsicht der Bundesregierung und nach Genehmigung durch Vertreter des Justizministeriums und des Heimatschutzministeriums stattfinden. Die Regierung hat außerdem die Einzelheiten zur Durchführung des Programms noch nicht festgelegt; Richtlinien für die Teilnahme sollen voraussichtlich innerhalb der kommenden zwei Monate veröffentlicht werden.
Offensive Befugnisse mit finanziellen und rechtlichen Auflagen
Der neue Rahmen erlaubt den teilnehmenden Unternehmen, Überwachungsoperationen durchzuführen, etwa mithilfe von Spionagesoftware Informationen zu sammeln, sowie Störangriffe, die auf die Zerstörung der Daten oder Systeme von Kriminellen abzielen. Im Gegenzug müssen die Unternehmen eine Million Dollar auf ein Treuhandkonto einzahlen. Diesen Betrag können sie verlieren, wenn die Regierung zu dem Schluss kommt, dass sie die Regeln für diese Operationen nicht eingehalten haben.
Die Regierung wird Verfahren einrichten, um zu verhindern, dass Amerikaner oder Systeme innerhalb der Vereinigten Staaten ins Visier genommen werden. Außerdem müssen die Unternehmen die Regierung informieren, wenn sie einen unmittelbar bevorstehenden Cyberangriff auf kritische US-Infrastruktur entdecken, etwa auf Stromnetze oder Wasseranlagen. Die erwarteten Richtlinien sollen Unternehmen aller Größenordnungen einschließen, darunter auch kleinere Unternehmen, die für die Durchführung spezialisierter Operationen besser geeignet sein könnten.
Abkehr von der bisherigen US-Politik
Die Entscheidung stellt eine erhebliche Veränderung gegenüber der über mehrere Regierungen hinweg verfolgten US-Position dar. Diese erlaubte dem privaten Sektor, sich gegen eingehende Angriffe zu verteidigen, untersagte ihm jedoch, Angriffe zu starten oder Störmaßnahmen durchzuführen. Für private Unternehmen gelten dieselben Bundesgesetze, die die Durchführung von Cyberangriffen ohne eine entsprechende gerichtliche Genehmigung verbieten.
Das Memorandum geht jedoch nicht so weit, Unternehmen zu erlauben, unabhängig gegen jede sie bedrohende Partei sogenannte „Hack-back“-Operationen durchzuführen. Das Weiße Haus erklärte außerdem nicht, ob sich bereits private Unternehmen dem Programm angeschlossen haben, sondern verwies Fragen von TechCrunch auf ein von ihm veröffentlichtes Faktenblatt.
Bedenken hinsichtlich internationaler Folgen
Kritiker sind der Ansicht, dass die Einbeziehung privater Unternehmen in staatliche Operationen den Weg für rechtliche und diplomatische Konflikte bereiten könnte, insbesondere wenn eine ausländische Regierung behauptet, ein US-Unternehmen habe einen Angriff auf ihr Hoheitsgebiet oder ihre Systeme durchgeführt. Die Politik könnte rechtlich angefochten werden und auf den Widerstand von Akteuren stoßen, die sich seit Langem gegen die Beteiligung des privaten Sektors an staatlichen Hackeroperationen aussprechen.
Jake Williams, stellvertretender Leiter der Forschungs- und Entwicklungsabteilung beim Cybersicherheitsunternehmen Hunter Strategy, sagte, die Politik könne US-Beschäftigte von Cybersicherheitsunternehmen dem Risiko aussetzen, außerhalb des Landes beschuldigt oder festgehalten zu werden. Er fügte hinzu, dass diese Beschäftigten während ihrer Reisen als „unrechtmäßige Kombattanten“ eingestuft werden könnten, selbst wenn ihre Beteiligung an den Operationen nicht nachgewiesen sei. Williams bezeichnete die Politik als „unausgereift“ und äußerte Zweifel daran, dass ihr Missbrauch verhindert werden könne.
Kontext zunehmender Bedrohungen
Das Memorandum kommt zu einem Zeitpunkt, zu dem die Regierung erklärt, die Vereinigten Staaten seien einer wachsenden Bedrohung ausgesetzt. Zugleich wurden Wasserinfrastrukturen in mehreren Bundesstaaten angegriffen; nach Einschätzungen von Geheimdiensten, über die lokale Stellen informiert wurden, wurden diese Angriffe iranisch unterstützten Hackern zugeschrieben. Der Bericht verwies außerdem auf Angriffe, die Unternehmen und US-Infrastruktur störten, während die durch autonome künstliche Intelligenz unterstützten Cyberbedrohungen zunahmen.