Der für die Cyberabwehr der Bundeswehr zuständige General hat sich dafür ausgesprochen, die verschiedenen Behörden zur Abwehr von Cyber-Angriffen in Deutschland besser miteinander zu vernetzen und eine schnelle gemeinsame Reaktion von Sicherheitsbehörden und Streitkräften zu ermöglichen. Bei einem großangelegten Angriff dieser Art komme es auf Minuten an, erläuterte Generalleutnant Ludwig Leinhos, Inspekteur des Bundeswehr-Kommandos Cyber- und Informationsraum (CIR).

Leinhos hatte dafür in der Vergangenheit wiederholt den Begriff digitaler Verteidigungsfall gebraucht – auch in einem Gespräch mit der Nachrichtenagentur AFP. Deren Meldung vom vergangenen Samstag (unter anderem hier veröffentlicht) war am (gestrigen) Montag erst richtig wahrgenommen worden; der Begriff des Verteidigungsfalles hatte dabei zu Irritationen geführt, die das Verteidigungsministerium zunächst nicht aufklären konnte: Hatte sich der Generalleutnant für einen militärischen Einsatz ohne die nötige Zustimmung des Parlaments ausgesprochen?

„Wir brauchen etwas, welches ich in der Diskussion gerne als ‚digitalen Verteidigungsfall‘ bezeichne, unterhalb der Schwelle eines klassischen Verteidigungsfalls“, sagte Leinhos der Nachrichtenagentur AFP.

Bei Angriffen unterhalb der Schwelle kriegerischer Handlungen, verdeckten Attacken oder hybriden Szenarien wie beim Angriff auf die ukrainische Halbinsel Krim im Jahr 2014 ist offiziell meist unklar, wer der Urheber ist. Für die erfolgreiche Verteidigung gegen solche Angriffe und insbesondere Hacker-Attacken gibt es bislang keine ausreichende rechtliche Grundlage. Ohne das Trennungsgebot von Bundeswehr, Polizei und Geheimdiensten in Frage zu stellen, bedürfe es einer Überprüfung und möglicherweise Anpassung der rechtlichen Grundlagen, sagte Leinhos.

heißt es in der Agenturmeldung.

Den etwas missverständlichen Begriff digitaler Verteidigungsfall bemühte sich das Kommando CIR auf Nachfrage aufzuklären: Es sei nicht der Verteidigungsfall bei einem bewaffneten Angriff auf Deutschland gemeint, der nach einem entsprechenden Parlamentsbeschluss zum Beispiel die Anwendung von Notstandsgesetzen erlaubt – auch wenn ein solcher Fall ebenso bei einem Cyber-Angriff auf deutsche Infrastruktur festgestellt werden könnte. Diese Feststellung des Verteidigungsfalls bleibe eine politische Angelegenheit des Bundestages.

Worauf sich aber alle staatlichen Strukturen einschließlich der Bundeswehr einstellen müssten, sei die Abwehr solcher Angriffe, auch wenn die Schwelle des bewaffneten Angriffs nicht erreicht sei:

Um in diesem Fall die Schäden zu minimieren und die volle Funktionsfähigkeit des Staates schnellstmöglich wiederherzustellen, ist ein verzugsloses und effektives Handeln erforderlich. Hier kommt es buchstäblich auf Minuten an.

Die derzeitigen Prozesse des Bundes und der Länder sind darauf nicht ausgelegt. Allein die Unkenntnis des Angreifers und die damit verbundene Frage der Zuständigkeit, das bisher fehlende gesamtstaatliche Cyber-Lagebild und die Verfahren zur Anforderung von Amtshilfe oder die fehlende direkte Zusammenarbeit mit beispielsweise den Internet Service Providern ermöglichen aktuell keine optimale Reaktion in solch einem Szenario.

Ziel sollte also sein, den Staat für solch eine Situation bestmöglich aufzustellen. Hierfür müssten Verfahren und Aufgaben staatlicher Stellen angepasst werden. Gegebenenfalls wären auch Gesetzesänderungen nötig. In die Zuständigkeiten von Behörden und Ressorts soll nicht eingegriffen werden.

Damit knüpft Leinhos nicht an Überlegungen von Bundesinnenminister Horst Seehofer zum Gegen-Hacken an, sondern an den Einsatz der Bundeswehr zur Unterstützung anderer Behörden bei besonders schweren Unglücksfällen (und Terrorangriffen), wie es das Bundesverfassungsgericht auch einschließlich militärischer Mittel ausdrücklich zugelassen hatte.

Die Koordination der staatlichen Reaktion, zuvor aber auch ein einheitliches Lagebild ist einer der Punkte, die Leinhos in diesem Zusammenhang anmahnt. Denn daran scheint es im Geflecht von Bundesamt für Sicherheit in der Informationstechnik, Landes- und Bundespolizei, Nachrichtendiensten und Streitkräften zu mangeln.

Mit anderen Worten: Es geht um einen – rechtlichen zulässigen – Einsatz der Bundeswehr im Inland – und da vor allem um eine schnellere Reaktionsfähigkeit. Anders ausgedrückt: Auf die bürokratischen Verfahren zur Beantragung, Entscheidung und Gewährung von Amtshilfe der Streitkräfte will sich der Inspekteur bei einem solchen Angriff nicht einlassen.

Nachtrag 13. Juni: Ein aktuelles Interview von T-Online mit Verteidigungsministerin Ursula von der Leyen zum Thema Digitalisierung – nicht nur im militärischen Bereich – hier (in den Kommentaren schon erwähnt, aber zum besseren Wiederfinden):

„Ich bin überzeugt, dass es ein Digitalministerium geben muss“

(Symbolbild: Soldaten am Computer im Gefechtsstand bei der Übung Brave Departure im Juni 2019 – und ja, der Gefechtsstandbetrieb hat mit Cyberabwehr direkt nichts zu tun)