(Symbolbild)
Wenn der Staat die Hacker anheuert: Neue Grenzen technischer Cybersicherheit
Die US-Regierung bereitet ein Memorandum vor, das privaten Sicherheitsfirmen erlauben würde, ausländische Cyberkriminelle aktiv zu hacken – ein Paradigmenwechsel, der gleichzeitig die fundamentalen Grenzen technischer Lösungen bei Sicherheitsfragen offenlegt. Parallel dazu zeigt der Fall des Überwachungsanbieters Flock, dass selbst hochentwickelte Technologie interne Missbrauchsszenarien nicht automatisch verhindern kann. Beide Entwicklungen werfen für deutsche Unternehmen die zentrale Frage auf: Wie weit reicht technischer Schutz, wenn menschliche und institutionelle Faktoren das eigentliche Risiko darstellen?
Staatlich legitimierte Hackbacks
Das geplante Presidential Memorandum der US-Regierung markiert eine dramatische Ausweitung der Cyberoperations-Praxis. Private Sicherheitsfirmen sollen künftig ermächtigt werden, gegen ausländische Bedrohungsakteure aktiv vorzugehen – eine Aufgabe, die bisher primär staatlichen Behörden vorbehalten war. Die Initiative zielt darauf ab, die Ressourcen des privaten Sektors für die nationale Cyberabwehr zu mobilisieren und dabei möglicherweise reaktivere sowie aggressivere Verteidigungsstrategien zu ermöglichen.
Diese Entwicklung steht im Kontext zunehmender Frustration über die begrenzte Wirksamkeit passiver Verteidigungsmaßnahmen gegen hochentwickelte Bedrohungsgruppen. Für internationale Unternehmen mit US-Präsenz oder -Geschäftsbeziehungen ergeben sich jedoch erhebliche rechtliche Unsicherheiten: Die Abgrenzung zwischen legitimer Abwehr und eigenmächtiger Strafverfolgung, die Haftungsfrage bei Fehlschlägen sowie die Einhaltung ausländischer Rechtsordnungen bei grenzüberschreitenden Operationen bleiben weitgehend ungeklärt.
Das Flock-Beispiel: Technik als Scheinlösung
Während die US-Regierung die technischen Fähigkeiten privater Akteure ausbauen möchte, offenbart der Fall des Automated License Plate Reader (ALPR)-Anbieters Flock Safety die systemischen Schwächen rein technischer Ansätze. Das Unternehmen steht seit längerem in der Kritik, weil Polizisten die Überwachungstechnologie zur Stalking von Partnern und Ex-Partnern missbrauchen – ein Problem, das trotz technischer Zugriffskontrollen und Audit-Logs persistiert.
Experten betonen, dass Flock dieses strukturelle Problem “nicht technisch lösen kann” (“can’t tech its way out”, Ars Technica). Die eingesetzten Kontrollmechanismen – von Zugriffsprotokollen bis zu Benachrichtigungssystemen – greifen nicht, wenn institutionelle Kulturen Missbrauch ermöglichen oder sanktionieren. Die Technologie liefert lediglich Daten; die Entscheidung über deren Verwendung trifft der Mensch.
Implikationen für das Risikomanagement
Die Verknüpfung beider Entwicklungen offenbart eine gemeinsame Struktur: In beiden Fällen wird Technologie als Kraftmultiplikator eingesetzt, ohne dass die zugrundeliegenden menschlichen und organisatorischen Risiken adäquat adressiert werden. Die Privatisierung von Hackback-Operationen externalisiert staatliche Gewalt auf private Akteure mit potenziell divergierenden Interessen und Rechenschaftsmechanismen. Die ALPR-Systeme delegieren staatliche Überwachungsbefugnisse an kommunale Behörden ohne entsprechende institutionelle Reife.
Für deutsche Unternehmen ergeben sich daraus mehrere Handlungsimperative. Zunächst gilt es, Lieferketten und Partnerschaften im Cybersicherheitsbereich auf mögliche Beteiligung an aktiven Cyberoperationen zu prüfen – mit den damit verbundenen Reputations- und Haftungsrisiken. Zudem wird deutlich, dass Investitionen in technische Schutzmaßnahmen nur dann wirksam sind, wenn sie von entsprechenden Governance-Strukturen, Schulungsprogrammen und einer Kultur der Sicherheit flankiert werden.
Die EU mit ihrem Cybersecurity Act und der anstehenden NIS2-Richtlinie setzt stärker auf regulatorische Rahmenbedingungen und Meldepflichten als auf die Delegation operativer Befugnisse. Dieser Ansatz mag langsamer wirken, vermeidet jedoch die Eskalationsdynamik, die aus privatisierten Cyberoperationen resultieren kann. Unternehmen sollten diese regulatorische Differenz gezielt nutzen, um Wettbewerbsvorteile durch nachweislich robuste Governance-Strukturen zu realisieren – statt allein auf technische Lösungen zu setzen, deren Grenzen zunehmend evident werden.
