Report: Wie die EU Cyberangriffen begegnet

Krieg auch im digitalen Raum

9 von 10 Unternehmen werden Opfer von Datendiebstahl, Spionage oder Sabotage, meldet der Digitalverband Bitkom. „Spätestens mit dem russischen Angriffskrieg gegen die Ukraine und einer hybriden Kriegsführung auch im digitalen Raum ist die Bedrohung durch Cyberattacken für die Wirtschaft in den Fokus von Unternehmen und Politik gerückt“, sagte Bitkom-Präsident Achim Berg.

Die Unternehmen erwarten in den kommenden zwölf Monaten eine weitere Zunahme von Cyberangriffen. 42 Prozent der Unternehmen rechnen mit einem starken Anstieg, 36 Prozent mit einem eher starken. Die Betreiber kritischer Infrastruktur stellen sich sogar auf noch heftigere Attacken ein: Hier rechnen 51 Prozent mit einem starken, 33 Prozent mit einem eher starken Anstieg.

Von der Politik wünschen sich 98 Prozent mehr Einsatz für eine verstärkte EU-weite Zusammenarbeit bei Cybersicherheit. 97 Prozent fordern, dass die Politik stärker gegen Cyberattacken aus dem Ausland vorgehen soll.

Auch in der Bevölkerung wird diese Sicht der Wirtschaft geteilt: In Deutschland wächst die Angst vor Cyberkriegen. 76 Prozent der Menschen im Land haben Angst vor einer Eskalation im digitalen Raum. Elf Prozent gehen sogar davon aus, dass diese in einem bewaffneten Konflikt enden kann. 70 Prozent der Menschen im Land wollen, dass die Europäische Union eine gemeinsame Cyber-Armee aufbaut, um auf Bedrohungen aus dem Cyber-Raum zu reagieren.

Abwehrfähigkeiten im Cyberwar

Warum eine Cyber-Armee sinnvoll sein kann, macht Bitkom anhand der Folgen eines Cyberwars deutlich: Als Cyberwar wird eine kriegerische und mit Mitteln der Informationstechnologie geführte Auseinandersetzung zwischen Staaten im virtuellen Raum bezeichnet. Dabei wird Ländern, Institutionen oder der Gesellschaft auf elektronischem Weg Schaden zugefügt. Dabei können wichtige Infrastrukturen zerstört oder blockiert werden. Auch ist es möglich, dass einzelne Einrichtungen, Behörden, Organisationen und Unternehmen lahmgelegt werden.

Offensichtlich kann die Verteidigung gegen solche Angriffe nicht alleine den Unternehmen als mögliche Angriffsziele überlassen werden, hier sind staatliche Kräfte und Ressourcen gefragt, wie bei der klassischen Verteidigung.

Deutschland und die Bundeswehr müssten dabei mit Partnern zusammenarbeiten. Es brauche zusätzlich dringend europäische Antworten, erklärte Bitkom-Präsident Berg: „Wie in der analogen Welt ist Deutschland auch im Cyberraum im Schulterschluss mit seinen Partnern besonders stark. Je mehr die EU zusammenwächst, desto gravierender werden auch Cyberangriffe auf europäische Institutionen. Diese gilt es mit dem Know-How aller Mitgliedstaaten gemeinsam bestmöglich zu schützen.“

„Die EU arbeitet an verschiedenen Fronten, um die Cyberabwehrfähigkeit zu fördern, die Cyberkriminalität zu bekämpfen und die Cyberdiplomatie und Cyberabwehr zu stärken“, erklärte der Rat der Europäischen Union.

Bereits m Oktober 2020  riefen die Staats- und Regierungschefs der EU dazu auf, die Fähigkeit der EU zu verbessern, sich vor Cyberbedrohungen zu schützen.

Doch wie steht es inzwischen darum?

Zusammenarbeit im Bereich Cyberabwehr in der EU

Der Cyberraum gilt als fünfter Bereich der Kriegsführung, der für militärische Operationen genauso wichtig ist wie die Bereiche Land, See, Luft und Weltraum. Dieser Bereich umfasst alles von Informations- und Telekommunikationsnetzen, Infrastrukturen und den damit verbundenen Daten bis hin zu Computersystemen, Prozessoren und Steuer- und Kontrollschaltungen.

Die EU koordiniert ihre Tätigkeiten im Bereich der Cyberabwehr über die Europäische Verteidigungsagentur (EDA), in Zusammenarbeit mit der Agentur der Europäischen Union für Cybersicherheit und Europol. Die EDA unterstützt die Mitgliedstaaten beim Aufbau qualifizierter Kräfte im Bereich der militärischen Cyberabwehr und sorgt dafür, dass sowohl proaktive als auch reaktive Technologie für die Cyberabwehr verfügbar ist.

Der Rat der EU hob hervor, wie wichtig ein robuster und kohärenter Sicherheitsrahmens ist, um alle Mitarbeitenden, Daten, Kommunikationsnetze und Informationssysteme der EU sowie Entscheidungsprozesse auf Grundlage umfassender, kohärenter und einheitlicher Regeln zu schützen. Dies sollte insbesondere durch die Stärkung der Abwehrfähigkeit und die Verbesserung der Sicherheitskultur der EU gegenüber Cyberbedrohungen sowie durch die Stärkung der Sicherheit von vertraulichen und nicht vertraulichen EU-Netzen erfolgen.

Die neue Cybersicherheitsstrategie ziele darauf ab, die gemeinsame Abwehrfähigkeit Europas gegenüber Cyberangriffen zu unterstützen und zu gewährleisten, dass alle Bürgerinnen und Bürger und Unternehmen in vollem Umfang von vertrauenswürdigen und zuverlässigen Diensten und digitalen Instrumenten profitieren können.

Besondere Aufmerksamkeit sollte insbesondere der Prävention und Bekämpfung von Cyberangriffen mit systemischen Auswirkungen gelten, die die Lieferketten, kritischen Infrastrukturen und grundlegenden Dienste, demokratischen Institutionen und Prozesse beeinträchtigen und die wirtschaftliche Sicherheit, auch durch mit dem Cyberraum ermöglichten Diebstahl geistigen Eigentums, untergraben können.

Sanktionen als eine Antwort auf Cyberangriffe

Der Rat der EU hat bereits im Mai 2019 einen Rahmen angenommen, der es der EU ermöglicht, gezielte restriktive Maßnahmen zur Verhinderung von Cyberangriffen und zur Reaktion auf Cyberangriffe, die eine externe Bedrohung für die Union oder ihre Mitgliedstaaten darstellen, zu verhängen, einschließlich Cyberangriffe gegen Drittstaaten oder internationale Organisationen, wenn restriktive Maßnahmen für notwendig erachtet werden, um die Ziele der Gemeinsamen Außen- und Sicherheitspolitik (GASP) zu erreichen.

Cyberangriffe, die in den Anwendungsbereich der neuen Sanktionsregelung fallen, sind Cyberangriffe, die erhebliche Auswirkungen haben und die ihren Ausgang außerhalb der EU haben oder von dort durchgeführt werden, oder außerhalb der Union befindliche Infrastrukturen nutzen, oder von Personen oder Einrichtungen, die außerhalb der EU ansässig oder tätig sind, durchgeführt werden, oder mit Unterstützung von Personen oder Einrichtungen, die außerhalb der Union tätig sind, durchgeführt werden. Versuchte Cyberangriffe mit potenziell erheblichen Auswirkungen sind ebenfalls von dieser Sanktionsregelung erfasst.

Insbesondere kann die EU mit dieser Rahmenregelung Sanktionen gegen Personen oder Einrichtungen verhängen, die für Cyberangriffe oder versuchte Cyberangriffe verantwortlich sind, die finanzielle, technische oder materielle Unterstützung für Cyberangriffe leisten oder die auf andere Weise daran beteiligt sind. Sanktionen können auch gegen Personen oder Einrichtungen verhängt werden, die mit ihnen verbunden sind.

Kompetenzgemeinschaft für Cybersicherheit

Durch die Schaffung eines Kompetenzzentrums für Cybersicherheit zur Zusammenführung von Investitionen in Forschung, Technologie und industrielle Entwicklung im Bereich der Cybersicherheit will die EU die Sicherheit des Internets und anderer kritischer Netz- und Informationssysteme erhöhen. Die neue Stelle, die ihren Sitz in Bukarest (Rumänien) hat, wird insbesondere Mittel für den Bereich der Cybersicherheit aus den Programmen „Horizont Europa“ und „Digitales Europa“ koordinieren.

Das Zentrum soll auch die wichtigsten europäischen Akteure, darunter die Industrie, Hochschul- und Forschungseinrichtungen und andere einschlägige Organisationen der Zivilgesellschaft, zusammenbringen, um eine Kompetenzgemeinschaft für Cybersicherheit zu bilden und so das Fachwissen im Bereich der Cybersicherheit EU-weit zu steigern und zu verbreiten.

Wo die Cyberabwehr der EU gegenwärtig steht

Der Ausschuss für auswärtige Angelegenheiten (AFET) des Europäischen Parlaments erklärte in seinem Bericht über den Stand der Fähigkeiten der EU im Bereich der Cyberabwehr, dass die Cyberabwehrfähigkeiten gestärkt werden müssen, und wies darauf hin, dass dies eine verstärkte Zusammenarbeit zwischen allen einschlägigen Einrichtungen und sonstigen Stellen der EU sowie mit der NATO erfordern wird.

Der Berichterstatter Urmas Paet sagte im Europäischjen Parlament: „In den letzten Jahren haben böswillige Cyberoperationen kontinuierlich zugenommen. Die EU und ihre Mitgliedstaaten müssen ihre Verteidigungskapazitäten ausbauen, um erfolgreich auf diese Cyber-Bedrohungen reagieren zu können. Daher ist es von entscheidender Bedeutung, die Zusammenarbeit zwischen den EU-Mitgliedstaaten und -Institutionen, der NATO, den USA und anderen strategischen Partnern zu stärken.”

Der Europäische Rechnungshof kam Ende März 2022 zu dem Schluss: EU-Institutionen müssen sich besser gegen Cyberangriffe wappnen. Die Einrichtungen der EU werden immer häufiger zum Ziel von Cyberangriffen. Ihre Cyberabwehr sei unterschiedlich stark entwickelt, insgesamt jedoch wären sie gegen die zunehmenden Bedrohungen nicht ausreichend gewappnet.

Da die EU-Institutionen eng miteinander verflochten sind, könnten Schwachstellen bei einer von ihnen zu Sicherheitsbedrohungen auch für andere führen, so der Sonderbericht des Europäischen Rechnungshofs zur Cybersicherheit in den Einrichtungen der EU. Die Prüfer empfehlen die Einführung verbindlicher Vorschriften zur Cybersicherheit und eine Aufstockung der Ressourcen des IT-Notfallteams der EU (CERT-EU). Auch sollte sich die Europäische Kommission für eine stärkere Zusammenarbeit der EU-Institutionen einsetzen, und das CERT-EU sowie die EU-Agentur für Cybersicherheit sollten sich vordringlich denjenigen EU-Einrichtungen widmen, die bei der Cybersicherheit Nachholbedarf haben, so die Prüfer.

„Die Organe, Einrichtungen und sonstigen Stellen der EU sind attraktive Ziele für potenzielle Angreifer und insbesondere für Gruppen, die in der Lage sind, technisch anspruchsvolle verdeckteAngriffe zum Zweck der Cyberspionage und anderen schädlichen Zwecken durchzuführen“, so Bettina Jakobsen, das für die Prüfung zuständige Mitglied des Europäischen Rechnungshofs. „Solche Angriffe können weitreichende politische Folgen haben, dem Ruf der EU insgesamt schaden und das Vertrauen in ihre Organe untergraben. Die EU muss mehr dafür tun, ihre eigenen Behörden zu schützen.“