Prof. Dr. Dennis-Kenji Kipker forscht und berät als Direktor des cyberintelligence.institute international zu Cybersicherheit, digitaler Resilienz sowie IT-Recht in China und den USA. Er ist Teil unseres Expertennetzwerks EXPERTS Circle.

So ist vorgesehen, dass künftig Bundeskriminalamt und Bundespolizei aktive Cyberabwehrmaßnahmen durchführen dürfen. Konkret sollen die Behörden den Betrieb fremder IT-Systeme einschränken, Datenverkehr umleiten und sogar Daten auf ausländischen Servern auslesen, verändern oder löschen dürfen. Ergänzend arbeitet das Innenministerium an einem sogenannten „Cyber-Dome“, einer teilautomatisierten Cyberabwehr im Netz. Die Botschaft: Deutschland will nicht länger nur zuschauen.

Die Idee klingt bestechend: Wenn ein Angreifer Ihre Daten abgesaugt hat und diese auf einem Server im Ausland liegen, warum sollte der Staat sie nicht löschen oder den Server abschalten? Tatsächlich gibt es Szenarien, in denen aktive Maßnahmen sinnvoll sein können – etwa wenn ein laufender Angriff auf Stromnetze oder Wasserwerke gestoppt werden muss. Auch das Zerschlagen sogenannter „Botnetze“, in denen Tausende gekaperte Rechner und IoT-Devices für Attacken missbraucht werden, gilt als Beispiel. Doch zwischen Theorie und Praxis klafft eine gefährliche Lücke.

Das größte Problem ist die sogenannte Attribuierung: Wer steckt tatsächlich hinter einem Angriff? Professionelle Hacker verschleiern ihre Spuren, leiten Attacken über gehackte Computer in Drittländern und legen mit False-Flag-Taktiken bewusst falsche Fährten, um anderen den Cyberangriff in die Schuhe zu schieben: So gehört der Server, von dem ein Angriff scheinbar ausgeht, oft einem unbeteiligten Unternehmen. Schlägt der Staat dagegen zurück, trifft er im schlimmsten Fall ein Krankenhaus in einem befreundeten Land. Eine zuverlässige forensische Zuordnung dauert Wochen oder Monate – für einen Gegenschlag in Echtzeit viel zu langsam.

Sobald staatliche Stellen fremde IT-Systeme im Ausland angreifen, betreten sie unsicheres völkerrechtliches Terrain. Denn das zentrale Gewaltverbot der UN-Charta gilt auch digital. Ein Cyber-Gegenschlag kann in der Folge als Eingriff in die Souveränität eines anderen Staates gewertet werden. Besonders heikel: Ein bewaffneter Einsatz der Bundeswehr im Cyberraum setzt nach dem Grundgesetz unter anderem einen Verteidigungsfall voraus, über den der Bundestag entscheidet. Die allermeisten Cyberangriffe erreichen diese Schwelle aber nicht. Sie bewegen sich in einer Grauzone, in der ein Gegenschlag schnell zur Eskalationsspirale werden kann.

Um in fremde Systeme einzudringen, brauchen Behörden außerdem vertieftes Wissen über technische Sicherheitslücken in Software. Hält der Staat solche Schwachstellen bewusst zurück, statt sie den Herstellern zu melden, bleiben diese Lücken auch für kriminelle Angreifer offen. Der Staat würde damit die IT-Sicherheit aller Bürgerinnen und Bürger schwächen, um eine offensive Cyber-Fähigkeit aufzubauen. Dazu kommen kaum kalkulierbare Kollateralschäden: Wer einen Server ausschaltet, kann unbeabsichtigt Dienste lahmlegen, die auf derselben Infrastruktur laufen.

Last but not least finden Cyberoperationen vielfach im Verborgenen statt. Die Öffentlichkeit erfährt weder, ob eine Aktion stattgefunden hat, noch ob sie erfolgreich war. Kontrollgremien arbeiten unter strenger Geheimhaltung. Bürgerinnen und Bürger müssen sich darauf verlassen, dass der Staat verantwortungsvoll handelt – ohne es aber tatsächlich überprüfen zu können. Für eine Demokratie ist das ein gravierendes Problem.

Die Debatte um Hackbacks wird uns auch in den nächsten Jahren noch begleiten. Doch deren Risiken – falsche Zuordnung, völkerrechtliche Eskalation, Kollateralschäden und fehlende Kontrolle – sind erheblich. Die wirksamste Cyberabwehr liegt deshalb zunächst nicht im Zurückschlagen, sondern im konsequenten Schutz der eigenen Systeme: robuste Infrastruktur, regelmäßige Updates und zügig geschlossene Sicherheitslücken. Das klingt zwar weniger spektakulär als ein digitaler Gegenschlag. Wirksamer und sicherer ist es im digitalen Alltag allemal.