Cyberwar und Bündnisfall

Gelegt sind die Sprengsätze, sie zu entschärfen, könnte misslingen, folglich wird die Explosion unvermeidlich sein. So in etwa klingt, was US-Präsident Joe Biden beim Besuch der US-Geheimdienstzentrale in McLean bei Washington angedeutet hat. Danach können Cyberattacken auf die USA, die China oder Russland zugeordnet werden, ein Kriegsgrund sein. Eine gewagte, beunruhigende, letztlich apokalyptische Prophezeiung. Immerhin wären es Atommächte, die in einen Schlagabtausch gerieten.

Wer kann das verantworten, sprich: ernsthaft in Erwägung ziehen bei so vielen Eventualitäten, die im Cyberspace eine Tätersuche beeinflussen? Kriminelle dieses Metiers, die es darauf anlegen, kritische Infrastruktur eines Staates zu treffen, agieren nicht mit offenem Visier. Das heißt, weder Hacker noch mögliche Auftraggeber lassen sich mit der Gewissheit ermitteln, die es braucht, um im Gegenzug einen Krieg zu entfesseln. In Russland etwa floriert das Geschäftsmodell Ransomware-as-a-Service, bei dem Hacker ihre Software an Dritte vermieten, die u. a. aktiv werden, um Spuren zu verwischen. Die Regierung Putin kann ihre Unschuld beteuern, so viel sie will, angeklagt wird sie doch.

Dass Biden seine Worst-Case-Szenarien beschwört, sollte noch aus einem anderen Grund alarmieren. Es ist durchaus denkbar, dass die USA bei einem Cyberangriff ihre nationale Sicherheit schwer bedroht sehen und den Verteidigungsfall ausrufen. Davon wären alle NATO-Staaten, also auch Deutschland, betroffen. Verteidigungsfall heißt Bündnisfall. Nach Artikel 5 des NATO-Vertrages reicht es, dass ein Mitgliedsland das Recht zur Selbstverteidigung nach Artikel 51 der UN-Charta reklamiert, um alle anderen auf Beistand zu verpflichten, selbst wenn keines selbst angegriffen wurde. Demzufolge steht der NATO-Bündnisfall über dem, in der Regel durch die Verfassung eines NATO-Staates definierten nationalen Verteidigungsfall. Für die Bundesrepublik tritt dieser ein, wenn laut Artikel 115a des Grundgesetzes „das Bundesgebiet mit Waffengewalt angegriffen wird oder ein solcher Angriff unmittelbar droht“.

Sind diese Tatbestände bei einer Cyberattacke erfüllt? Welche Kriterien sind maßgebend, um einen solchen mit einem bewaffneten Angriff gleichzusetzen. Wie muss eine adäquate Antwort aussehen? Und wie ist es zu bewerten, wenn der Angriff einem Verbündeten galt, der eine Schadensanalyse schuldig bleibt, aber auf kollektiver Vergeltung durch die westliche Allianz beharrt?

Weil die Automatismen des NATO-Vertrages im Bündnisfall so wenig Spielraum lassen, eine militärische Eskalation aufzuhalten, wird bislang eine NATO-Aufnahme der Ukraine vermieden. Es bedarf keiner übermäßigen Fantasie, um sich vorstellen, dass allein der Konfliktherd Ostukraine das Zeug hat, um den Clash NATO gegen Russland auszulösen.

Immerhin scheint Joe Biden bei aller knisternden Rhetorik zugleich auf präventives Handeln bedacht. Beim Genfer Gipfel am 16. Juni hat er Präsident Putin eine Liste mit 16 für die USA sensiblen Infrastrukturen übergeben, die nicht ins Visier geraten dürfen. Seit gut einer Woche wird darüber in Genf verhandelt, eingebettet in Gespräche zur Rüstungskontrolle. Begründung: Cyberaktionen tangieren die strategische Balance genauso wie Rüstungsprojekte. Mögliche neue Kriege verlangen nach einer angemessenen Diplomatie. Ob sie dadurch zu verhindern sind, steht in den Sternen.