Ralf Bendrath
Elektronisches Pearl Harbor oder Computerkriminalität? 
Die Reformulierung der Sicherheitspolitik in Zeiten globaler Datennetze

in: S+F. Vierteljahresschrift für Sicherheit und Frieden, Nr. 2/2000, im Erscheinen

1. Die neue Unsicherheit: Nationale Bedrohung oder Hype?

Die Diskussion über die Veränderungen der Sicherheitspolitik durch globale Datennetze hat nach einigen Jahren des Reifungsprozesses in den Fachkreisen zum Jahrtausendwechsel endgültig die große Öffentlichkeit erreicht. Zwei Ereignisse markieren diese Popularisierung einer neuen Gefahrenkonstruktion: Die Warnung vor dem “Informationskrieg” als US-Wahlkampfthema im Herbst 1999 und die fast hysterischen Reaktionen der Medien auf die Hacker-Angriffe auf große Webseiten im Februar 2000. Senator John McCain, der mittlerweile unterlegene republikanische Bewerber um die amerikanische Präsidentschaftskandidatur, warnte im Zuge seiner sicherheitspolitischen Strategievorstellungen im vergangenen November vor den Gefahren des “Informationskrieges”. Angriffe auf die elektronischen Kommunikationsmittel seien, so McCain im US-Vorwahlkampf, neben Nationalitätenkonflikten und der Proliferation von Massenvernichtungswaffen die zentrale sicherheitspolitische Herausforderung der Zukunft. Wie zum Beweis seiner These wurden im Februar dieses Jahres über mehrere Tage hinweg die Webseiten von einigen der populärsten Internetfirmen der Welt blockiert. Das Webportal Yahoo!, der Online-Buchhändler Amazon, das elektronische Auktionshaus eBay und andere wichtige E-Commerce-Seiten wurden Opfer einer verteilten Denial-of-Service-Attacke, bei der ihre Webserver von zuvor gecrackten und als Angriffswerkzeug mißbrauchten Großrechnern mit Daten überflutet wurden. 
Der Diskurs über die neuen Gefahren, die sich aus der digitalen Vernetzung fast aller gesellschaftlichen Bereiche ergeben, ist ein interessanter Fall von Risikokommunikation über großtechnische Anlagen. Die Nationale Akademie der Wissenschaften der USA begann bereits 1990 einen Bericht mit den Worten: “We are at risk. Increasingly, America depends on computers. (...) Tomorrow's terrorist may be able to do more damage with a keyboard than with a bomb.” Dieses Zitat ist typisch für eine ganze Reihe von Warnungen, die vom Verteidigungsministerium, den Geheimdiensten, dem FBI und anderen staatlichen Stellen verbreitet wurden. Der damalige CIA-Chef John Deutch etwa warnte seit Mitte der neunziger Jahre in Kongreßanhörungen davor, daß die nationale Sicherheit durch mögliche Cyber-Attacken auf Kraftwerke, Banken, Flugsicherung oder Streitkräfte zunehmend bedroht sei. Diese Gefahren gingen, so die Sicherheitsbehörden, nicht nur von feindlichen Staaten aus, sondern auch von Insidern und Teenagern.
Daß es im Falle des Internet ausgerechnet staatliche Stellen waren und sind, die sich um eine Dramatisierung der Gefahren bemühen, ist zunächst kontraintuitiv. In herkömmlichen Risikodiskursen über Atomkraftwerke, Gentechnologie oder Müllverbennungsanlagen waren es stets nichtstaatliche Akteure wie Umweltverbände, die für Öffentlichkeit gesorgt haben und dazu auch zum Teil drastische Mittel benutzten. Die Behörden bemühten sich traditionell darum, zu betonen, man habe alles unter Kontrolle. Warum sind es also hier die staatlichen Organe, die den Risikodiskurs vorangetrieben haben? Dafür sehe ich drei Gründe: Die Veränderungen in der weltweiten Sicherheitslage nach 1989, die Orientierung der US-Streitkräfte auf offensive Informationskriegskonzepte und die im Vergleich zu anderen Großtechnologien andere Entwicklungsgeschichte des Internet.

Risikante Technologien statt gegnerischer Akteure?

Aus Sicht der USA werden bis zum Jahr 2015 keine militärischen Konkurrenten existieren, die die nationale Sicherheit bedrohen könnten. Die Umbrüche in der Weltgesellschaft haben daher den Blick verstärkt auf nichtstaatliche Akteure gelenkt, die mit terroristischen Anschlägen eine Bedrohung für amerikanische Staatsbürger darstellen können. Terroristen, internationale Kriminelle oder die üblichen “islamischen Fundamentalisten” unterscheiden sich aber dadurch grundsätzlich von den bedrohlichen Akteuren des Ost-West-Konfliktes, daß sie nicht klar zu identifizieren sind. Die Unsicherheitsabschätzungen gingen daher verstärkt von der Gefährlichkeit der technischen Mittel aus, die möglichen Gegnern der USA zur Verfügung stehen könnten. Dabei kamen neben Massenvernichtungswaffen auch neue Potentiale in die Diskussion, die auf der offenen Struktur der amerikanischen Datennetze basierten. In dem Bericht der President´s Commission on Critical Infrastructure Protection etwa wird explizit darauf hingewiesen, daß die möglichen Feinde unbekannt, die Werkzeuge für Cyber-Angriffe aber leicht verfügbar sind. Dieser sicherheitspolitische Diskursstrang zielte also auf die Neuetablierung einer Bedrohung nach dem Wegfall der Sowjetunion und diente damit vor allem der Stiftung von Legitimität für die Streitkräfte.
Dieser Wandel in der Unsicherheitswahrnehmung der USA fiel zusammen mit einer wachsenden Sorge über die Verwundbarkeit der US-Streitkräfte. War die Diskussion über Computer in den Streitkräften zunächst von großer Euphorie über digitalisierte und vernetzte C3I-Systeme geprägt, so ist seit Mitte der neunziger Jahre eine stärkere Beachtung der Risiken zu beobachten. Mit dem “Command and Control-Warfare” war in den USA eine Militärstrategie formuliert worden, die nicht mehr auf die Kräfte des Gegners, sondern auf seine Informationsflüsse zielt. Da gleichzeitig aber die elektronische Vernetzung der amerikanischen Truppen massiv ausgebaut wurde, wurde den militärischen Planern immer klarer, daß das US-Militär weitaus anfälliger für Angriffe auf seine Computersysteme wurde als die Streitkräfte anderer Staaten. Wenn ein großer Teil der militärischen Datenkommunikation über zivile Infrastruktur läuft, dann bedrohten die zivilen Risiken durch Hacker, so die Schlußfolgerung, auch die militärische Sicherheit. Je weiter die Diskussion über Angriffe auf die Informationssysteme  möglicher Gegner voranschritt, desto intensiver wurden mögliche Gefahren der eigenen militärischen und zivilen Datennetze thematisiert. Dieser Diskursstrang war also eher militärstrategisch ausgerichtet und orientierte sich an Ideen der asymmetrischen und unkonventionellen Kriegführung.
Dazu kam, daß das Internet nicht staatlich kontrolliert eingerichtet und ausgebaut wurde, sondern als offenes dezentrales Netz im zivilen Sektor gewachsen ist. Die Grundlagen für das Internet waren zwar im Auftrag des Pentagon gelegt worden, aber das daraus für die Streitkräfte entwickelte Milnet wurde bereits 1984 aus Sicherheitsgründen vom ARPA-Net, dem heutigen Internet, getrennt. Das ARPA-Net wurde zunächst von den kalifornischen Universitäten weiterbetrieben, dann international ausgebaut, und in den neunziger Jahren stießen diverse kommerzielle Netzbetreiber dazu. Die technische Architektur des Netzes erlaubte es, ohne zentrale Kontrolle, Lizensierung oder Regulierung neue Knoten anzuschließen und neue Dienste anzubieten. Was sich durchsetzte, hing von der Akzeptanz der Benutzer ab sowie von lose offenen und nichthierarchischen Koordinationsgruppen wie der Internet Engineering Task Force (IETF). “Das dezentrale Gefüge der Netzwelt ordnet sich nicht entlang der konventionellen Formen parlamentarisch-rechtsstaatlicher Demokratie. Seine gegenwärtige Verfassung wird statt dessen mit dem Wilden Westen des 19. Jahrhunderts verglichen” Damit stand (und steht) das Internet im scharfen Kontrast zum Herrschafts- und Regelungsanspruch des Staates, der sich gerade im Wilden Westen der USA seine Autorität erst erkämpfen mußte, und es stellt das genaue Gegenteil von anderen Großtechnologien dar, die erst nach anspruchsvollen Genehmigungsverfahren errichtet werden dürfen. Dieser Diskursstrang zielte also auf die Ordnung und Kontrolle eines aus staatlicher Sicht unkontrollierten Raumes.
Die Debatte, wie sie sich etwa Mitte der neunziger Jahre darstellte, basierte also auf drei grundlegende Annahmen: Erstens einer wachsenden sicherheitspolitischen Ungewißheit über mögliche Gegner, verbunden mit der unkontrollierbaren Diffusion von Software und Know-How über Cyber-Angriffstechniken; zweitens einer wachsenden militärischen Angst vor der elektronischen Verwundbarkeit der US-Streitkräfte, basierend auf einer möglichen asymmetrischen Cyberkriegführung durch konventionell unterlegene Gegner; drittens auf der anarchischen Struktur des Internet als sozialem Raum, der sich staatlichen Kontrollversuchen und damit auch dem staatlichem Sicherheitsbedürfnis zu widersetzen schien. Es war also nicht die neue Technologie allein, von der die Risiken ausgingen, sondern erst ihre Einbettung in ein System von sicherheitspolitischen Normen und Ideen in einer spezifischen historischen Situation, die das Internet ins Bewußtsein des sicherheitspolitischen Establishments der USA rückte. Das mag erklären, warum hierzulande eine entsprechende Unsicherheitswahrnehmung nicht in vergleichbarem Maße entstanden ist: Weder wurde Deutschland als das primäre Ziel von Terroristen und Fundamentalisten wahrgenommen, noch gab es hier einen entsprechend vorgeprägten Blick der Militärs auf die Bedeutung von Command and Control Warfare und ähnlichen Doktrinen. Auch die allgemeine Idee der Kontrolle des Internet durch den Staat wurde hier aufgrund des technologischen Vorsprungs der USA erst viel später thematisiert.

2. Das elektronische Pearl Harbor und andere Szenarien

Ein bestechendes Kennzeichen der gesamten Diskussion um die Verwundbarkeit der elektronischen Infrastrukturen ist ihre fehlende Erfahrungssättigung. Viele Studien und Warnungen arbeiten lediglich mit anekdotenhaften Zusammenstellungen von bekannten Hackerangriffen; bei anderen finden Hochrechungen aus dem Erfolg eigener Cyber-Angriffsübungen durch sogenannte “Red Teams” statt, die aber nur schlecht mit den realen Bedingungen von Cyberattacken verglichen werden können. In der Übung Eligible Receiver im Juni 1997 etwa, die häufig als Beleg für die Verwundbarkeit der militärischen Datennetze herangezogen wird, wurden nur unklassifizierte Systeme angegriffen. Zudem werden zwar oft beeindruckende Zahlen über die Anzahl von bekannten Cyberattacken genannt, doch es fehlt in in fast allen Fällen eine Abschätzung des Schadensausmaßes, die zu einer seriösen Risikokalkulation gehört. Alle Aussagen über das Ausmaß der Gefahr bewegen sich daher im Bereich des Spekulativen. Dazu kommt, daß bisher keine klaren Kriterien dafür vorliegen, was überhaupt als Angriff gewertet werden soll. Das US-Verteidigungsministerium etwa zählte noch bis 1998 jeden Versuch, eine Telnet-Verbindung herzustellen, als elektronische Attacke. Die Gesellschaft der infrastrukturellen Unsicherheit weist damit signifikante Merkmale einer Risikogesellschaft auf. “Es ist nie klar, ob Risiken sich verschärft haben oder nur unser Blick für sie.” Weil die möglichen gegnerischen Akteure und ihre Intentionen nicht klar identifiziert werden können, bewegen sich die Risikoabschätzungen leicht im Bereich der Paranoia, ohne jemals präzise angegeben werden zu können. George Smith, der Herausgeber des Crypt Newsletters, bemerkt dazu ironisch: “Teenagers are transformed into electronic bogeymen with more power at their fingertips than the Strategic Command”. Die einschlägigen Risikoabschätzungen sind dementsprechend voll von Begriffen wie “capability”, “possibility” oder “could”. Ein Beispiel: “We found no evidence of an impending cyber attack which could have a debilitating effect on the nation’s critical infrastructures. While we see no electronic disaster around the corner, this is no basis for complacency. We did find widespread capability to exploit infrastructure vulnerabilities. The capability to do harm - particularly through information networks - is real.” 
Die radikal einfache Variante dieser Argumentation ist die Behauptung: “Mr. Chairman, there will be an electronic attack sometime in our future” - so der stellvertretende Verteidigungsminster John Hamre in einer Kongreßanhörung im Juni 1996. So unseriös es zunächst klingen mag: Nach dieser Methode wurde der Diskurs über die Cyber-Gefahren stark popularisiert, denn viele der politischen Handlungsempfehlungen, die von den unteren Arbeitsebenen und Think Tanks vorbereitet wurden, basieren auf Szenarien - und die sind im Kern nichts anderes als Behauptungen über zukünftige Ereignisse. Die RAND Corporation und die DARPA führten seit Mitte der neunziger Jahre eine ganze Reihe von Übungen durch, die auf der “Day After...”-Methode basierten. Im ersten Schritt wurden die Teilnehmer um fünf Jahre in die Zukunft “versetzt” und mit einer Reihe von Informationskriegs-Attacken konfrontiert, um im zweiten Schritt, wieder in der Gegenwart, zu diskutierten, wie solche künftigen Ereignisse durch heutiges Handeln vermieden werden könnten. An der Plausibilität der Szenarien selber konnte mit dieser Methode nicht mehr gezweifelt werden, obwohl sich im Nachhinein viele der Annahmen als falsch herausgestellt haben. Daher haben diese “Erfindungen der Zukunft” in den sicherheits- und technologiepolitischen Fachkreisen eine breite Wirkung hinterlassen.
Ein Leitbild war dabei besonders bedeutend, denn es wirkte über die Expertenkreise hinaus und ist heute in fast jedem Medienbericht zur Gefährdung der elektronischen Infrastrukturen zu finden: Das “elektronische Pearl Harbor”. Mit diesem Szenario wurde die technologisch bedingte Unsicherheit mit einem historischen Trauma der USA verbunden, nämlich mit dem ohne Vorwarnung erfolgten schweren Angriff auf die amerikanische Pazifikflotte in Pear Harbor/Hawaii durch die japanische Luftwaffe am 7. Dezember 1941. Das Bild des “electronic Pearl Harbor” beschreibt ein Szenario, das aus einem überraschenden elektronischen Angriff auf wichtige Teile der amerikanischen Computersysteme und von ihr gesteuerter Anlagen besteht, etwa “kollabierende Stromnetze, eine Softwarebombe auf dem Aktienmarkt, ein elektromagnetischer Impuls, der das Telefonnetz zusammenbrechen läßt.” Der Begriff wurde bereits 1991 geprägt und hat seitdem eine bemerkenswerte Karriere gemacht. Unter anderem fand er Eingang in den Bericht des Defense Science Board, das im Auftrag des Verteidigungsministeriums seit 1995 die defensiven Aspekte des “Informationskrieges” untersuchte.
Durch die Analogie mit dem historischen Pearl Harbor wurde impliziert, daß die Gefahr von einem Gegner ausgeht, der sich außerhalb der USA befindet und eine Bedrohung für die nationale Sicherheit darstellt. Dies wurde häufig verstärkt durch die diskursive Verknüpfung mit ausländischen Terroristen oder “Schurkenstaaten”. Ein Mitarbeiter des National Infrastructure Protection Center beim FBI warnte etwa davor, daß Osama Bin Laden eine Computerversion des Bombenanschlages von Oklahoma durchführen könnte. Mit diesem Bild eines gefährlichen Anderen, der sich moralisch und geografisch außerhalb der USA befindet, wird spiegelbildlich eine Idee des Selbst als Nation reproduziert. Verbreitete Formulierungen wie “unsere Computer sind bedroht” verstärken diesen Effekt noch. Wenn auf diese Weise die Bedrohung als die eines nationalen Kollektivs konstruiert ist, ist das Objekt der Sicherheitspolitik die gesamte Gesellschaft. Als Akteur der Sicherheitspolitik, der stellvertretend für diese handelt, kommt so der Staat ins Spiel - nicht die einzelnen Computernutzer oder Netzbetreiber. Durch das Leitbild des “electronic Pearl Harbor” wird darüber hinaus eine Strategie nahegelegt, die auf Analogien zur physischen Kriegführung basiert und damit die Zuständigkeit des Verteidigungsministeriums für die Sicherheit der militärischen und zivilen Informationssysteme impliziert. Der seit Mitte der neunziger Jahre popularisierte Begriff des “Informationskrieges” trug ebenfalls dazu bei, daß zunächst das Verteidigungsministerium als prädestiniert für die Verteidigung der nationalen Datennetze erschien. So forderte das Defense Science Board 1996, bei der Defense Information Systems Agency (DISA) ein Zentrum für defensive Informationskriegführung zu schaffen, das auch die Infrastrukutursicherheit des privaten Sektors und anderer Ministerien betreuen sollte. Auch die National Security Agency, der Abhörgeheimdienst des Pentagon, war traditionell mit Fragen der Computersicherheit und –überwachung befaßt und brachte sich zunehmend als Berater auch für zivilen Regierungseinrichtungen und Unternehmen ins Gespräch. Der stellvertretende Verteidigungsminister John Hamre formulierte diese militärische Option recht deutlich: “Cyperspace ain't for geeks, it's for warriors”.

3. Institutioneller Wandel mit Widerständen

Aufgrund der Popularität von Begriffen wie “elektronisches Pearl Harbor”, “Informationskrieg” und anderer militärischer Methaphern wäre also zu erwarten gewesen, daß die neuen Risiken der Datennetze in die Zuständigkeit des Verteidigungsministeriums fallen würden. Diese Sichtweise traf aber auch innerhalb des Militärs auf starke Vorbehalte. Viele Offiziere hielten sich nicht für zuständig, weil es nicht mehr um die Anwendung physischer Gewalt ging. Andere schreckten vor der unklaren Trennung von politischen, militärischen und polizeilichen Aufgaben im “Informationskrieg” zurück. Auch die Möglichkeit, daß die Angreifer aus den USA heraus agieren könnten, bereitete Kopfzerbrechen: Mit dem Posse Comitatus-Act von 1878 ist es dem US-Militär verboten, im Inland aktiv zu werden. Im Pentagon zögerte man daher mit der Einrichtung operativer Abteilungen zur Verteidigung gegen das gleichwohl erwartete “elektronische Pearl Harbor” und kümmerte sich zunächste um die eigenen militärischen Computernetze. Sogar diese Aufgabe ist bis heute noch nicht bewältigt.
Auch von den Strafverfolgungsbehörden wurde gegen eine militärische Zuständigkeit argumentiert. Da das “elektronische Pearl Harbor” sich innerhalb der USA ereignen würde, seien eher das FBI und das Amt für Katastrophenschutz zuständig. Das FBI konnte im Gegensatz zum Pentagon aufgrund der bestehenden Gesetze gegen Computerkriminalität mit einer Bildung operativer Strukturen reagieren: Im Februar 1992 wurde die National Computer Crimes Squad (NCCS) zur Untersuchung von Fällen der Computerkriminalität eingerichtet, im gleichen Jahr entstand das Computer Analysis and Response Team (CART), das für Aufgaben der Computerforensik ausgestattet wurde. 1998 verfügte bereits jedes der 56 Regionalbüros über eine Computer Crimes Squad. Aktivitäten wie die Ausrichtung der ersten internationalen Konferenz über Computerkriminalität 1992 stärkten ebenfalls die Rolle des FBI im interministeriellen Gerangel um Zuständigkeiten.
Eine dritte Gruppe, vor allem aus den Reihen der privaten Wirtschaft und der Datenschützer,  wandte sich dagegen, überhaupt staatliche Regelungen in diesem Bereich zuzulassen. Sie verwiesen darauf, daß die Datennetze ebenso wie die das Telefonnetz und andere damit verbundene Infrastrukturen sich größtenteils in privatem Besitz befinden. Daher müßten die Betreiber selbst Abwehrmaßnahmen unternehmen. Diese Position wurde besonders von der kalifornischen Computerindustrie vertreten, deren Weltbild stark von neoliberalen Vorstellungen über die Selbstregulierungskräfte des Marktes geprägt ist. Bis heute verhalten sich die zivilen Betreiber der Datennetze und Computerzentren sehr zurückhaltend, was eine Kooperation mit den Sicherheitsbehörden angeht. Der private Markt für systemnahe technische Sicherheitssysteme wuchs dagegen in den neunziger Jahren stark an. Diese technische Art der lokalen Verteidigung gegen Cyberangriffe funktioniert weitestgehend ohne staatliche Beteiligung.
Die Schwierigkeiten, mit dieser territorial nicht mehr begrenzten und auf keine identifizierbaren Akteure mehr festlegbaren Unsicherheit umzugehen, so läßt sich die Debatte bis Mitte der neunziger Jahre zusammenfassen, warfen grundsätzliche Fragen über die Kompetenzaufteilungen, gesetzlichen Regelungen und politische sowie technische Strategien in der Cyber-Sicherheitspolitik auf. Das sicherheitspolitische Risiko, das mit den neuen Technologien entstanden war, war damit ein typischer Fall der Einführung neuer Technologien in bestehende Sozialsysteme, nämlich “nicht nur ein Problem im, sondern vor allem ein Problem des sozialen Raumes”.

Die Critical Infrastructure Working Group (CIWG)

Ein einschneidendes Ereignis, das ironischerweise nichts mit dem Internet zu tun hatte, brachte Bewegung in diese Situation und führte zu ersten Maßnahmen des Präsidenten. Als Reaktion auf den Bombenanschlag in Oklahoma im April 1995 setzte Justizministerin Janet Reno auf Weisung von Präsident Clinton eine interministerielle Arbeitsgruppe ein, die Amerikas Verwundbarkeit durch Terrorismus untersuchen sollte. An dieser Critical Infrastructure Working Group (CIWG) nahmen Vertreter aus Strafverfolgung, Militär, Spionage und dem Nationalen Sicherheitsrat teil. Den Vorsitz bekam die stellvertretende Justizministerin Jamie Gorelick. Mit der Leitung der kleinen Arbeitsgruppe durch das Justizministerium war schon eine wichtige Entscheidung gefallen: Die Risiken der neuen Informationstechnologien sollten vorwiegend als polizeiliche, nicht als militärische oder geheimdienstliche Aufgaben behandelt werden. Die CIWG identifizierte acht kritische Infrastrukturen, und neben den physischen Gefahren wurde in dem Bericht an den Präsidenten erstmals die Verwundbarkeit durch Cyber-Angriffe genannt. Die CIWG empfahl aber zunächst eine umfassende Studie zum Schutz der kritischen Infrastrukturen. Als kurzfristige Maßnahme sollte eine Task Force gebildet werden, um die verschiedenen Regierungsaktivitäten in diesem Bereich zu bündeln.  

Die President´s Commission on Critical Infrastructure Protection

Präsident Clinton setzte diese Empfehlungen um und bestellte im Juni 1995 die Presidential Commission on Critical Infrastructure Protection (PCCIP), die einen umfassenden Bericht über die Sicherheit aller Infrastruktursysteme der USA erstellen sollte. Der Schwerpunkt lag jedoch wieder auf den Cyber-Risiken, da sie noch am wenigsten untersucht waren und viele der anderen Infrastrukturen von Datennetzen und Computersystemen abhängen. Die PCCIP sollte diese Risiken abschätzen, defensive Maßnahmen entwickeln und zur Klärung des institutionellen und gesetzlichen Reformbedarf beitragen. An ihr nahmen Vertreter aller relevanten Ministerien teil, also nicht mehr nur der sicherheitspolitische Apparat, sondern z.B. auch das Wirtschafts- und Transportministerium. Zusätzlich wurden erstmals die privaten Infrastrukturbetreiber mit einbezogen. Diese Vorgehensweise beruhte auf der Annahme, daß die Sicherheitspolitik in diesem Fall nicht mehr allein Aufgabe des Staates ist, sondern eine “geteilte Verantwortung” bedeutet. Die Einberufung der PCCIP damit kann als historischer Wendpunkt in der nationalen Sicherheitspolitik der USA gelten, denn mit dieser Erweiterung der sicherheitspolitischen Akteure um andere Ministerien und zivile Unternehmen wurde das Spektrum der möglichen Strategien weit über den Kernbereich der Sicherheitspolitik (physische Gewalt bzw. Repression) ausgedehnt. Gleichzeitig war dies auch ein Wandel im Objekt der Sicherheitspolitik: Es ging nun um die Sicherung der technischen Infrastrukturen, nicht der Nation als kollektivem Akteur.
Zusammen mit der PCCIP wurde die Infrastructure Protection Task Force (IPTF) gegründet, die in der Zeit bis zum Abschlußbericht der Kommission die dringlichsten Aufgaben der Infrastruktursicherheit übernehmen sollte. An der IPTF waren ständig nur das FBI, die NSA und das Pentagon beteiligt, also die klassischen sicherheitspolitischen Einrichtungen des Staates. Insofern ist die IPTF als ein Kompromiß zu verstehen zwischen einem vollständig kooperativen Ansatz, der auch hier die Privatwirtschaft und andere Ministerien einbezogen hätte, und einem klassischen sicherheitspolitischen, bei dem entweder das FBI oder das Verteidigungsministerium zuständig gewesen wäre. Die IPTF wurde beim Justizministerium angesiedelt, um von den Kapazitäten des kurz vorher im FBI eingerichteten Computer Investigations and Infrastructure Threat Assessment Center (CITAC) zu profitieren. Auf diese Weise war wiederum die institutionelle Vorleistung des FBI prägend gewesen. Eine militärische Option war jedoch noch nicht vollständig vom Tisch, was sich auch daran zeigte, daß die PCCIP von dem ehemaligen Luftwaffengeneral Robert T. Marsh geleitet wurde.

Die PDDs 62 und 63

Nach der Vorlage des Berichtes der PCCIP im Herbst 1997 folgte Präsident Clinton im Mai 1998 mit den Presidential Decision Directives PDD-62 und -63 weitgehend den dort formulierten Empfehlungen. Er richtete das Amt eines nationalen Koordinators für Sicherheit, den Schutz der Infrastruktur und Terrorismus-Abwehr ein, der vom ebenfalls neuen Critical Infrastructure Assurance Office (CIAO) bei der Strategieentwicklung unterstützt wird. Für die Sicherheit einzelner Sektoren der Infrastruktur, etwa Information, Wasser oder Transport, wurden unterschiedliche Ministerien als “Lead Agencies” zur Kooperation mit den Betreibern bestimmt. Zur interministeriellen Koordination diente die neugeschaffene Critical Infrastructure Coordination Group (CICG); zusammen mit der Privatwirtschaft wurde ein National Infrastructure Assurance Council (NIAC) unter Vorsitz des Nationalen Koordinators vorgesehen. Zusätzlich sollten in den einzelnen Sektoren Information Sharing and Analysis Centers (ISAC) gegründet werden, dessen genaue Form und Arbeit von den privaten Betreibern selber bestimmt wird. Das Verteidigungs- und das Wirtschaftsministerium arbeiten seitdem zusammen, um ihre Expertise in Bezug auf Computersicherheit dem privaten Sektor zur Verfügung zu stellen. Die mit der PCCIP begonnene Praxis der Kooperation mit der zivilen Wirtschaft wurde also verstärkt fortgeführt. Jenseits des alten staatlichen Gewaltmonopols etablierte sich so eine Art postmodernes Selbsthilfe-System, in dem der Staat teils die privaten Sicherheitsaktivitäten nur noch moderiert, teils seiner repressiven Rolle durch Strafverfolgung und ähnliches immer noch nachkommt.

Solar Sunrise und das National Infrastructure Protection Center (NIPC)

Neben dem Amt eines nationalen Koordinators wurde das Computer Investigation and Threat Assesment Center (CITAC) beim FBI zum interministeriellen National Infrastructure Protection Center (NIPC) ausgebaut. Es ist sowohl für die Frühwarnung als auch für die Strafverfolgung zuständig. Bei der Gründung des NIPC hatten neben dem institutionelle Vorlauf des FBI zwei Schlüsselerlebnisse eine Rolle gespielt. Bereits im August 1997, einen Monat nach der bereits erwähnten und für die Risikowahrnehmung bis heute bedeutsamen Red-Team-Übung Eligible Receiver, war das Computer Investigations and Threat Assessment Center durch den FBI-Direktor zum Office of Computer Investigations and Infrastructure Protection (OCIIP) ausgebaut worden. Es wurde dann am 26. Februar 1998, schon drei Monate vor den präsidialen Direktiven, durch Justizminsterin Reno zum NIPC ausgebaut und durch die Entscheidung von Clinton dann nur noch formal anerkannt. Der Anlaß dafür, im Vorgriff auf die Meinungsbildung im Weißen Haus das OCIIP zum Nationalen Zentrum für Infrastrukturschutz machen, war eine Folge von Ereignissen im Februar 1998, die unter dem Namen “Solar Sunrise” bekannt wurden. 
Während gerade die US-Streitkräfte am Persischen Golf verstärkt wurden, da es mit dem Irak zu Spannungen über die Waffeninspektionen der UNSCOM gekommen war, entdeckte man mehr als 500 erfolgreiche elektronische Einbrüche in Computersysteme des Verteidigungsministeriums, anderer Ministerien der US-Regierung sowie des privaten Sektors. Die Eindringlinge verschafften sich Zugriff auf mindestens 200 Computersysteme der US-Streitkräfte, darunter sieben Luftwaffenstützpunkte, vier Marineeinrichtungen, nationale Laboratorien des Energieministeriums und Einrichtungen der NASA Der Zeitpunkt der Einbrüche und die Tatsache, daß einige Spuren bis zu Internetanbietern in der Golfregion zurückverfolgt werden konnten, führten dazu, daß der Irak hinter den Angriffen vermutet wurde. Die Gründung des NIPC unmittelbar im Anschluß an diese Einbrüche wurde also durch die Wahrnehmung einer äußeren Bedrohung beschleunigt. Die Tatsache, daß das Verteidigungsministerium die Angelegenheit nicht an sich ziehen konnte, zeigt dabei aber, wie wirkungsvoll institutionelle Pfadabhängigkeiten sind. Die eingehende Untersuchung des Falles Solar Sunrise erbrachte später, daß dahinter zwei Jugendliche aus Kalifornien sowie mehrere israelische Staatsbürger steckten. Für das FBI war dies wieder ein Argument mehr dafür, daß nicht mit militärischen Mitteln auf vermeintliche Cyberattacken geantwortet werden kann, solange der Angreifer nicht zweifelsfrei feststeht:“Solar Sunrise thus demonstrated to the interagency community how difficult it is to identify an intruder until facts are gathered in an investigation, and why assumptions cannot be made until sufficient facts are available.” In der PDD 63 wurde allerdings, wohl auch als Ergebnis von Solar Sunrise, festgeschrieben, daß abhängig von Herkunft und Ausmaß eines Cyber-Angriffes das NIPC auf Anweisung des Präsidenten auch dem Verteidigungsministerium unterstellt werden kann.

4. Aktueller Stand: Die Nationale Strategie für den Schutz von Informationssystemen

Die PCCIP hatte ihren Bericht ausdrücklich einen “Anfang” genannt, und in den präsidialen Direktiven vom Mai 1998 wurde ebenfalls anerkannt, daß eine Sicherheitsstrategie für die kritischen Informationssysteme noch nicht vorliege. Seit den präsidialen Direktiven 62 und 63 im Mai 1998 wurde daher in verschiedenen Ministerien, Behörden und Ausschüssen an der Entwicklung einer umfassenden nationalen Strategie gearbeitet. Der am 7. Januar 2000 von Präsident Clinton vorgelegte National Plan for Information Systems Protection trägt zwar in Anlehnung an die Softwareentwicklung die Versionsnummer 1.0 und heißt im Untertitel “an Invitation to a Dialogue”, aber er folgt in seiner Grundidee den Entscheidungen, die bereits im Mai 1998 mit den Presidential Decision Directives 62 und 63 gefallen sind. Der Nationale Plan repräsentiert den aktuellen Stand des institutionellen Wandels und wirft daher ein deutliches Licht auf den Stand der Sicherheitspolitik in der Informationsgesellschaft. 

Die Regierung schützt sich nur noch selbst 

Die grundlegende Annahme der PDDs 62 und 63, daß die Sicherheit der amerikanischen Computersysteme eine geteilte Verantwortung von Regierung und privaten Betreibern bedeutet, wurde noch verstärkt. Die staatlichen Stellen sind jetzt nur noch dafür zuständig, ihre eigenen Datennetze vor Eindringlingen zu schützen. Dieses Vorgehen - es wurde der Öffentlichkeit unter dem Titel “the Government as a Model” präsentiert - war eine Reaktion auf die breite öffentliche Kritik an weitergehenden Ambitionen von Strafverfolgung und Geheimdiensten. Der nationale Sicherheitsrat hatte noch im Sommer 1999 ein technisches System vorgeschlagen, das automatisiert den Datenverkehr der Regierung und kritischer Sektoren wie Banken und Telekommunikation überwachen und auf Hacker-Angriffe überprüfen sollte. Dieses Federal Intrusion Detection Network (FIDNet), das zentral beim NIPC ausgewertet werden sollte, stieß wegen der befürchteten Einschränkungen des Datenschutzes auf heftigsten Widerstand sowohl in der Öffentlichkeit als auch im Kongreß. Auch der geplante Datenaustausch des FIDNet mit entsprechenden Stellen des Verteidigungsministeriums und der NSA wurde von verschiedenen Seiten scharf kritisiert, da es eine zunehmende Sorge vor den Abhörmaßnahmen der NSA gab. Das Repräsentantenhaus untersagte der Regierung sogar explizit, aus dem bewilligten Budget des Justizministeriums Gelder für FIDNet auszugeben, und Clinton mußte gegenüber der Öffentlichkeit zurückrudern und behaupten, er habe den Plan noch nicht gebilligt.
Drei neue Institutionen sollen nun arbeitsteilig und kooperativ für die Sicherheit der staatlichen Computersysteme sorgen: 
•	Die Federal Computer Incident Response Capability (FedCIRC) der General Services Adminstration soll eine zentrale Analysezelle erhalten, um Auffälligkeiten in allen nichtmilitärischen Regierungscomputern in Echtzeit zu untersuchen. Dieses reduzierte FIDNet soll u.a. “anomales Verhalten autorisierter Benutzer” in sämtlichen Regierungscomputern feststellen. Zu diesem Zweck werden die Berichte der dezentralen automatischen Intrusion Detection-Systeme zentral bei der FedCIRC gesammelt und ausgewertet. 
•	Bei militärischen Computern ist für diese Aufgaben die bereits 1999 eröffnete Joint Task Force – Computer Network Defense (JTF-CND) beim U.S. Space Command zuständig, die als Vorbild für das FIDNet dienen soll. Zwischen FedCIRC, JTF-CND und NIPC ist ein regelmäßiger Datenaustausch vorgesehen. 
•	Das schon 1998 eingerichtete National Security Incident Response Center (NSIRC) der NSA unterstützt FIDNet, JTF-CND, DISA, NIPC und den Nationalen Sicherheitsrat bei Angriffen auf Systeme, die zum nationalen Sicherheitsapparat gehören. Dabei soll es sowohl Echtzeitanalysen und Computerforensik als auch Warnungen über Hackergruppen und verdächtige Internet-Adressen liefern. Diese Sonderrolle der NSA steht etwas im Widerspruch zu der ansonsten zentralen Stellung, die das NIPC in dem nationalen Plan hat, ist aber durch die technischen Kapazitäten dieses weltgrößten Abhörgeheimdienstes bedingt. Vorher war es sogar die alleinige Aufgabe der NSA gewesen, für die Kommunikationssicherheit der US-Sicherheitsbehörden zu sorgen.
Innerhalb der staatlichen Sicherheitsorgane hat sich damit eine durch Know-How, institutionelle und technische Vorläufe und politische Bedenken bedingte Arbeitsteilung herausgebildet, bei der das FBI gegenüber dem Pentagon und den Geheimdiensten eine recht starke Stellung hat. Das wurde auch dadurch begünstigt, daß das FBI seine operativen Abteilungen zur Bekämpfung der Computerkriminalität in den letzten Jahren massiv ausgebaut hat (s.o.) und damit gegenüber dem Präsidenten und dem Kongreß erzielte Erfolge und weiteren Handlungsbedarf präsentieren konnte. Die weiteren Aktivitäten des FBI in diesem Bereich sind im Rahmen des neugeschaffenen National Infrastructure Protection and Computer Intrusion Program (NIPCIP) bei der Antiterror-Abteilung angesiedelt.

Computerkriminalität oder Cyberwar?

Dennoch ist die Sicherung auch der zivilen Computersysteme keine alleinige Frage der inneren Sicherheit mehr, und insgesamt werden diese territorial begründeten Unterscheidungen immer fragwürdiger. Das NIPC ist zwar beim FBI angesiedelt, kann aberdurch eine Entscheidung des Präsidenten auch dem Verteidigungsministerium unterstellt werden. Im Nationalen Plan wird versucht, die klassische Aufgabenverteilung zwischen Polizei und Militär zu reproduzieren, indem eine solche Änderung der Zuständigkeiten nur im Falle eines Angriffes aus dem Ausland vorgesehen ist. Da natürlich nicht jeder Hack-Versuch, der nicht aus den USA kommt, vom Verteidigungsministerium beantwortet werden kann, sind Ausmaß und Natur eines Angriffes entscheidend. In der Praxis wird sich dies wohl als das einzige Kriterium erweisen, denn wie das Beispiel Solar Sunrise gezeigt hat, ist es fast unmöglich, in Echtzeit unter Angriffsbedingungen die Identität eines Cyber-Angreifers zweifelsfrei festzustellen. Es wird dabei von dem sensorischen Instrumentarium des NIPC und der privatwirtschaftlichen ISACs abhöngen, ob eine größere Attacke auf unterschiedliche Systeme überhaupt als solche erkannt wird. Damit wird die Entscheidung zwischen Krieg und Kriminalität plötzlich eine Frage, bei der das Militär quasi “blind” ist und sich auf das Urteil von Strafverfolgungsbehörden oder sogar privaten Infrastrukturbetreibern verlassen muß. Die territorial hergeleitete klassische Trennung zwischen innerer und äußerer Sicherheit spielt dabei keine Rolle mehr.
In dem Nationalen Plan vollständig verschwiegen wird, daß die Streitkräfte seit Herbst 1998 auch über eine offensive Informationskriegs-Doktrin verfügen. Diese führte bei den Militärs zu einem interessanten Wandel in der Interpretation des “electronic Pearl Harbor”. Es soll nun nicht mehr nur das Synonym für einen schweren Überraschungsangriff sein, sondern auch für die Fähigkeit zurückzuschlagen: “That really was the message of Pearl Harbor. It wasn't that we got hit. It was that we were ready to respond”, so John Hamre im August 1999 bei der Eröffnung des Joint Task Force-Computer Network Defense Operations Centers. Diese Einschätzung wurde jedoch von den hausinternen Juristen nicht geteilt. In einer Untersuchung, die während des Kosovokrieges 1999 erstellt wurde, warnte die Rechtsabteilung des Pentagon vor völkerrechtlichen Problemen für den Fall, daß die US-Streitkräfte Serbien digital angreifen würden. Die Clinton-Regierung hat wohl auch aufgrund dieser unkontrollierbaren rechtlichen und politischen Risiken von Cyberkriegen versucht, das Thema international eher als Problem der polizeilichen Zusammenarbeit und nicht als neues Objekt der Rüstungskontrolle zu etablieren. Auch nach den Denial-of-Service-Attacken auf große Webseiten im Februar 2000 sagte Clinton, diese hätten zwar großen finanziellen Schaden angerichtet, es sei aber kein “Pearl Harbor” gewesen.

Privatisierung der Cyber-Sicherheit

Der zweite Teil des Nationalen Plans befaßt sich mit der Sicherheit der privat betriebenen Infrastrukturen und beginnt mit der Feststellung, daß “the Federal Government alone cannot protect U.S. critical infrastructures”. Als “Partner” der Bundesregierung werden dabei auch die Regierungen der Bundesstaaten und die Kommunalverwaltungen bezeichnet, der Schwerpunkt liegt jedoch bei privaten Firmen. Als Ziel wird eine enge privat-öffentliche Partnerschaft genannt. Wohl um Bedenken der Infrastrukturbetreiber zu zerstreuen, werden zu Beginn dieses Abschnittes die grundlegenden Prinzipien wie “Freiwilligkeit” oder “Vertrauen” besonders betont und auf das Eigeninteresse der Firmen an Sicherheitsmaßnahmen hingewiesen. Sie sollen angeregt werden, auf Angebote der Regierung zur Überprüfung ihrer Schutzvorrichtungen, zum Austausch von Informationen und zur Weiterentwicklung technischer Standards einzugehen.
Die private Wirtschaft zögert allerdings immer noch sehr mit der Zusammenarbeit. Die bereits 1998 geplanten Information Sharing and Analysis Centers (ISACs) wurden erst sehr spät oder gar nicht eingerichtet: Das Financial Services ISAC (FS/ISAC) wurde als erstes dieser Zentren erst am 1. Oktober 1999, fast eineinhalb Jahre nach den Direktiven des Präsidenten, eröffnet. Andere Sektoren haben bis heute keine solche Koordinationsstellen gegründet, obwohl “große Anstrengungen” der Regierung unternommen wurden, um dies anzustoßen. Daher wird in dem Nationalen Plan bereits über neue Gesetzesänderungen nachgedacht, die als Motivationshilfen dienen können. Auch auf der Ebene der strategischen Politikformulierung sollen die privaten Infrastrukturbetreiber einbezogen werden. Im Sommer 1999 hatte Präsident Clinton eine Executive Order zur Gründung des seit 1998 geplanten National Infrastruture Assurance Council (NIAC) erlassen, in dem Vertreter der Computerindustrie mit Regierungsbeamten zusammenarbeiten sollten und der den Präsidenten in Fragen der Infrastruktursicherheit direkt beraten soll. Die Industrie ist offenbar sogar an einem solchen institutionalisierten Zugang zu politischen Entscheidungen des Infrastrukturschutzes wenig interessiert. In der Nationalen Strategie, die ein halbes Jahr später vorgelegt wurde, wurde die Gründung des NIAC immer noch angekündigt.
Ein wichtiger Grund für die Zurückhaltung der privaten Unternehmen ist, daß sie nur ungern Informationen über interne Probleme an Dritte weitergeben. Gegenüber den Konkurrenten, mit denen man nach den Regierungswünschen in den ISACs zusammenarbeiten sollte, erscheint es unsicher, Details über Hackerangriffe oder Sicherheitslücken verraten, denn dies könnte zu schlechter Publicity oder sogar Wirtschaftsspionage führen. Und gegenüber dem FBI oder gar der NSA besteht in der Computerindustrie ein schon fast traditionelles Mißtrauen vor staatlichen Überwachungsversuchen. Daher greifen viele Firmen auf private Dienstleister zurück, die in der Regel effektiver und unbürokratischer arbeiten als staatliche Stellen. Diese Angst vor dem Big Brother ist nicht unbegründet, soll der immer stärker in Kritik geratene Abhörgeheimdienst NSA doch eine zentrale Rolle bei der Datensammlung über Sicherheitslücken spielen. Das National Security Incident Response Center (NSIRC) der NSA unterhält eine zentrale Datenbank mit Informationen über Sicherheitsprobleme, und seine Network Intrusion Analysis Capability hat als Auftrag, ihre “Kunden” mit Detailwissen über Hackertechniken zu versorgen. Unter diesen Umständen, und so lange das “elektronische Pearl Harbor” nicht wirklich eintreten sollte, ist nicht zu erwarten, daß die Privatwirtschaft ein Eigeninteresse an einer größeren staatlichen Rolle in der Computersicherheit entwickeln wird. Statt einer zentralen staatlichen Koordination reicht den Firmen eine private, lokale Sicherheitspolitik, die jeweils nur ihre eigenen Computer sicherer macht, völlig aus. Darüber hinaus werden mittlerweile auf dem Finanzmarkt schon Versicherungen gegen Hacker-Angriffe angeboten. Ob das öffentlichkeitswirksame Treffen des Präsidenten mit hochrangigen Industrievertretern nach den Hacker-Angriffen im Februar zu einer dauerhaften Kooperation führen wird, ist daher eher ungewiß. Mehr als eine neue Initiative mit dem Namen Partnership for Critical Infrastructure Security ist als Ergebnis bislang nicht bekannt geworden.

5. Fazit

Die in den USA geführten Diskussion um die Sicherheitspolitik in Zeiten des Internet war wegen der weitreichenden Strukturkonflikte zwischen den etablierten hierarchischen und zentralstaatlichen Institutionen und den neuen dezentralen Technologien nicht nur ein Streit über die effektivste Strategie zur Abwehr der neuen Cyber-Risiken. In ihr wurden implizit und explizit auch grundsätzliche Fragen verhandelt, denn es ging im Kern um das Referenzobjekt von Sicherheit: Ist Sicherheit in Zukunft immer noch gleichzusetzen mit der territorialen Integrität des Staates, oder verlagert sich der Fokus auf den einzelnen Computer beziehungsweise Benutzer? Der Diskurs über die Verwundbarkeit der Informationsinfrastrukturen war damit gleichzeitig ein Diskurs über die Rolle des Staates in einer zunehmend globalisierten und entterritorialisierten Welt. Auf technischer Ebene spiegelt sich dies in dem Konflikt darüber, wo technische Systeme für die Sicherheit der elektronischen Infrastrukturen ansetzen sollten, auf sozialer Ebene in der Frage, wer über sie verfügen darf. Innerhalb des staatlichen Sicherheitsapparates haben sich dabei in den USA vor allem das FBI (aufgrund seiner institutionellen Vorleistungen) und die NSA (aufgrund ihrer technischen Vorleistungen) durchgesetzt, während das Militär trotz aller Versuche, Schlüsselbegriffe zu besetzen, in eine marginale Rolle gedrängt wurde. Noch wichtiger ist aber die neue starke Stellung der privaten Infrastrukturbetreiber, die nun nicht nur eine bedeutende Rolle in der Umsetzung der Cyber-Sicherheitspolitik spielen, sondern auch dem Staat das Definitionsmonopol darüber streitig machen können, wie Sicherheit überhaupt zu definieren ist. Während der Staat die neuen Cyber-Risiken in alter Manier als Bedrohung der amerikanischen Gesellschaft konzeptionalisiert und eine nationale Strategie anstrebt, geht es den Infrastrukturbetreibern um die Sicherheit der technischen Systeme und damit um lokale Sicherungsmaßnahmen, die noch nicht einmal mehr den Anspruch haben, Politik zu sein. Dies hat aber weitreichende politische Implikationen, und es entspricht einem generellen Trend auch in der theoretischen Literatur über Sicherheitspolitik, wo in den letzten Jahren eine Abkehr vom Konzept der territorialen Verteidigung gegen Bedrohungen und eine Hinwendung zur funktionalen Sicherung gegen Risiken zu beobachten ist. Die deutsche Diskussion über die sicherheitspolitischen Risiken der Datennetze, das sei am Schluß noch angemerkt, ist noch nicht so weit fortgeschritten wie in den USA, aber die bisher bekannten Ergebnisse bestätigen diesen Trend.