{"id":80042,"date":"2019-04-02T00:00:00","date_gmt":"2019-04-01T22:00:00","guid":{"rendered":"https:\/\/foraus.ch\/blog-post\/cyber-defence-braucht-cyber-romance\/"},"modified":"2026-05-27T11:21:34","modified_gmt":"2026-05-27T09:21:34","slug":"cyber-defence-braucht-cyber-romance","status":"publish","type":"blog-post","link":"https:\/\/foraus.ch\/fr\/blog-post\/cyber-defence-braucht-cyber-romance\/","title":{"rendered":"Cyber-Defence braucht Cyber-Romance"},"content":{"rendered":"\n

In der Schweiz sind die Zust\u00e4ndigkeiten staatlich-milit\u00e4rischer Stellen und privater Unternehmen im Bereich der \u201eCyber-Defence\u201c theoretisch klar getrennt. Dies macht auch die neue Verordnung \u00fcber milit\u00e4rische Cyberabwehr deutlich. Faktisch k\u00f6nnen staatliche und private Akteure die nationale Cyberabwehr aber nicht ohne Zusammenarbeit gew\u00e4hrleisten.<\/strong><\/p>\n\n\nAm 1. M\u00e4rz 2019 ist die Verordnung \u00fcber die milit\u00e4rische Cyberabwehr<\/a> in Kraft getreten. Der ausschliessliche Zweck dieser Verordnung ist der Eigenschutz und die Selbstverteidigung der Schweizer Armee vor Cyberangriffen. Eine Gesamtverantwortung der Armee f\u00fcr die Verteidigung der Schweiz wird explizit ausgeschlossen<\/a>. Die Armee \u00fcbernimmt folglich keine Verantwortung f\u00fcr den Schutz privater Akteure wie Unternehmen oder Betreiber vitaler Versorgungseinrichtungen, sogenannter kritischer Infrastrukturen<\/a> wie Strom-, Wasser-, Lebensmittelversorgung, Telekommunikation oder Verkehr. Doch gerade Cyberangriffe auf kritische Infrastrukturen k\u00f6nnen zu prek\u00e4ren Zust\u00e4nden f\u00fchren, wie sich im aktuellen Beispiel von Venezuela<\/a> zeigt.\n\nEine klare Trennung von staatlich-milit\u00e4rischer und privater Cyberabwehr mag aus rechtlich-theoretischer Sicht sinnvoll erscheinen. Ob man damit den realen Anforderungen an die nationale Cybersicherheit gerecht wird, erscheint allerdings fraglich.\n\nDie Schweizer Cyberstrategie<\/strong>\n\nDie nationale Cyberstrategie<\/a> betrachtet den Schutz der Schweiz vor Cyber-Risiken grunds\u00e4tzlich als gemeinschaftliche Aufgabe von Gesellschaft, Wirtschaft und Staat, f\u00fcgt aber an, dass die Verantwortungen und Zust\u00e4ndigkeiten klar definiert seien. Im Sinne einer subsidi\u00e4ren Rolle des Staates \u00fcbernimmt dieser nur dann die Verantwortung, wenn private Akteure nicht willens oder nicht dazu in der Lage sind. Weil nun aber gem\u00e4ss der Verordnung eine Gesamtverantwortung der Armee ausgeschlossen wird, wird diese konsequenterweise nicht subsidi\u00e4r t\u00e4tig, wenn im Rahmen der Abwehr privater Akteure eine Durchf\u00fchrung aktiver (Abwehr-) Massnahmen erforderlich wird. Im Fall der kritischen Infrastrukturen wird dies damit begr\u00fcndet, dass im Hinblick auf Cyber-Risiken im Gegensatz zu den konventionellen Risiken noch wenig milit\u00e4rische Mittel vorhanden sind, um die Betreiber subsidi\u00e4r bei der Ereignisbew\u00e4ltigung zu unterst\u00fctzen. Zwar steht den Betreibern kritischer Infrastrukturen zur Unterst\u00fctzung bei Cybervorf\u00e4llen gegenw\u00e4rtig die staatliche Melde- und Analysestelle Informationssicherung<\/a> zur Verf\u00fcgung. Diese besitzt im Rahmen der aktiven Cyberabwehr allerdings keinerlei Handlungskompetenzen, wie sie die Armee innehat.\n\nV\u00f6lkerrechtliche Voraussetzungen der Cyberabwehr <\/strong>\n\nDurch den Bundesrat bewilligungspflichtige, aktive Massnahmen der Cyberabwehr sind unter anderem sogenannte Gegenmassnahmen, die das Eindringen in ausl\u00e4ndische Computersysteme erfordern. Will die Schweiz eine Gegenmassnahme erw\u00e4gen, m\u00fcssen zwei Voraussetzungen erf\u00fcllt sein: Erstens muss der fragliche Cyberangriff gegen V\u00f6lkerrecht verstossen, und zweitens muss der Cyberangriff, auch wenn er durch einen privaten Akteur versursacht wird, einem anderen Staat zurechenbar sein. In Frage kommen somit zwischenstaatliche Cyberangriffe, die einen unerlaubten Eingriff in die staatliche Souver\u00e4nit\u00e4t<\/a> darstellen oder das v\u00f6lkerrechtliche Interventions- bzw. Gewaltverbot<\/a> verletzen. Ist eine der genannten v\u00f6lkerrechtlichen Bestimmungen verletzt worden, so kann mit einer Gegenmassnahme reagiert werden. Gegenmassnahmen sind ausschliesslich den V\u00f6lkerrechtssubjekten, namentlich Staaten und deren Organen wie der Armee, vorbehalten.\n\nDe-facto-Vermischung von staatlicher und privater Cyberabwehr<\/strong>\n\nGegen eine strikte Trennung von staatlich-milit\u00e4rischer und privater Cyberabwehr sprechen Erfahrungswerte, wie sie beispielsweise in den USA vorliegen. Im Hinblick auf die F\u00e4higkeit zur Informationsbeschaffung und Zurechnung von Cyberangriffen, hat sich in den letzten Jahren gezeigt, dass es gr\u00f6sstenteils private Unternehmen waren, denen eine Zurechnung der fraglichen Cyberangriffe an die verantwortlichen Staaten gelungen ist. Beispielhaft genannt sei der \u201eOffice of Personnel-Hack\u201c im Jahr 2015, als \u00fcber Cyberattacken auf das US-amerikanische Office for Personnel Management<\/em> pers\u00f6nliche Daten und Sicherheitsreports von mehr als 21 Millionen Bundesangestellten gestohlen wurden. Darunter befanden sich auch Fingerabdr\u00fccke von 5,6 Millionen Angestellten, mittels derer sich Zugang zu gesicherten staatlichen Einrichtungen verschaffen liesse. Der damalige Direktor des FBI James B. Comey bezeichnete diesen Vorfall als \u201ea very big deal from a national security perspective and from a counterintelligence perspective<\/a>\u201d. Schliesslich war es das private Cybersecurity-Unternehmen \u201eCrowdStrike\u201d, welche die staatlich gelenkten Hacker dank seiner F\u00e4higkeit zur Informationsbeschaffung identifizieren und diese China zurechnen konnte. Die US-amerikanische Regierung profitierte insofern, als sie nur dank der erfolgten Zurechnung die chinesische Regierung daf\u00fcr belangen konnte und v\u00f6lkerrechtskonform Gegenmassnahmen h\u00e4tte ergreifen k\u00f6nnen. Die nationale Cybersicherheit konnte in diesem und zahlreichen weiteren Beispielen nur dank einer \u00fcberraschend guten Zusammenarbeit zwischen staatlich-milit\u00e4rischen und privaten Akteuren funktionieren.\n\nEigenverantwortung vs. Gesamtverantwortung<\/strong>\n\nStaaten d\u00fcrfen nur dann Gegenmassnahmen ergreifen, falls eine Zurechnung an einen anderen Staat m\u00f6glich ist. Wie das angef\u00fchrte Beispiel zeigt, sind private Unternehmen oftmals besser dazu f\u00e4hig und ausger\u00fcstet als eine staatliche Stelle wie die Armee. Es ist durchaus denkbar, dass der Staat im Rahmen der Zurechnungsvornahme auf die Unterst\u00fctzung privater Akteure angewiesen sein wird, wenn er \u2013 gegebenenfalls auch milit\u00e4rische \u2013 Aktionen im Cyberraum ausf\u00fchren will. Zudem ist nicht auszuschliessen, dass in manchen F\u00e4llen selbst die technische F\u00e4higkeit zur Durchf\u00fchrung von Gegenmassnahmen im Cyber-Raum ebenfalls bei einem privaten Akteur zu suchen und zu finden ist.\n\nUnter Ber\u00fccksichtigung einer solchen (potenziellen) Abh\u00e4ngigkeit der staatlich-milit\u00e4rischen Cyberabwehr von privaten Akteuren, scheint es nicht sachgerecht, eine Gesamtverantwortung der Armee auszuschliessen. Denn auch private Unternehmen und insbesondere Betreiber kritischer Infrastrukturen k\u00f6nnen wesentlich auf die Handlungsbereitschaft staatlich-milit\u00e4rischer Stellen angewiesen sein. Dies ganz besonders, wenn private Unternehmen im Rahmen der Cyberabwehr auf milit\u00e4rische Ressourcen zur\u00fcckgreifen m\u00fcssen oder mangels Status als V\u00f6lkerrechtssubjekt keine Gegenmassnahmen ergreifen k\u00f6nnen. Wenn es um die nationale Cybersicherheit geht, muss das volle Potenzial ausgesch\u00f6pft werden \u2013 und dies gelingt nur auf der Grundlage gegenseitiger Gesamtverantwortungsgef\u00fchle.\n

\n
\n
\n\nImage: <\/strong>Unsplash<\/a>\n\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"featured_media":0,"template":"","meta":{"_acf_changed":false},"archive-status":[],"region":[],"custom-themes":[1817],"class_list":["post-80042","blog-post","type-blog-post","status-publish","hentry","custom-themes-frieden-sicherheit"],"acf":[],"_links":{"self":[{"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/blog-post\/80042","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/blog-post"}],"about":[{"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/types\/blog-post"}],"wp:attachment":[{"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/media?parent=80042"}],"wp:term":[{"taxonomy":"archive-status","embeddable":true,"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/archive-status?post=80042"},{"taxonomy":"region","embeddable":true,"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/region?post=80042"},{"taxonomy":"custom-themes","embeddable":true,"href":"https:\/\/foraus.ch\/fr\/wp-json\/wp\/v2\/custom-themes?post=80042"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}