Privater Sektor soll ausländische Hacker angreifen dürfen – unter staatlicher Aufsicht

Wichtige Voraussetzungen

Die Richtlinie definiert mehrere Sicherheitsvorkehrungen für teilnehmende Firmen :

• Kaution von 1 Million Dollar – Teilnehmende Unternehmen müssen eine Million Dollar als Sicherheitsleistung hinterlegen. Diese verfällt, falls die Regierung Verstöße gegen die Programmregeln feststellt .
• Gemeinsame Genehmigung durch Justiz- und Heimatschutzministerium – Jede Operation benötigt vor ihrer Durchführung die schriftliche Zustimmung von „Program Executive Directors“ sowohl des Justizministeriums (DOJ) als auch des Heimatschutzministeriums (DHS) .
• Verbot von Angriffen auf US-Bürger oder inländische Systeme – Das Memorandum schreibt Verfahren vor, die sicherstellen, dass keine Operation gegen US-Personen oder in den USA befindliche Systeme gerichtet ist .
• „Critical Outcomes“-Schwelle – Operationen, die wahrscheinlich zu Todesfällen oder schweren Verletzungen führen oder eine „Gewaltanwendung“ im Sinne des Völkerrechts darstellen, sind untersagt, sofern sie nicht gesondert genehmigt werden .
• Jährliche Berichterstattung – Die Programmdirektoren müssen dem Heimatschutzberater und dem Nationalen Cyber-Direktor innerhalb von 180 Tagen und danach jährlich Bericht erstatten .
• Offenlegung von Verträgen – Teilnehmende Unternehmen müssen dem NCC alle vertraglichen Beziehungen zu den ins Visier genommenen kriminellen Organisationen offenlegen .

Rechtlicher und politischer Wendepunkt

Die Richtlinie markiert eine historische Kehrtwende in der jahrzehntelangen US-Cybersicherheitspolitik. Nach dem Computer Fraud and Abuse Act (CFAA) unterlagen private Unternehmen denselben Einschränkungen wie jede andere Person – ihnen war der unbefugte Zugriff, das Hacken oder Stören ohne gerichtliche Anordnung grundsätzlich verboten . Die langjährige Position der US-Regierung, die über mehrere Regierungen hinweg Bestand hatte, besagte, dass die Privatwirtschaft sich gegen eingehende Cyberangriffe verteidigen, aber keine offensiven Cyberangriffe starten oder durchführen darf .

Dieses Memorandum räumt dieses Verbot für geprüfte Auftragnehmer unter staatlicher Aufsicht beiseite und schafft damit effektiv ein staatlich kontrolliertes „Hack-Back“-Programm, das offensive Cyber-Befugnisse an private Unternehmen delegiert . Das Weiße Haus erklärte, die Richtlinie erlaube es der Bundesregierung, „die Fähigkeiten und die Innovationskraft des Privatsektors“ zu nutzen, um Cyberkriminalität und Bedrohungen für US-Bürger – wie Ransomware-Angriffe, Finanzbetrug und Sextortion – zu bekämpfen .

Kritik und Bedenken

Kritiker warnen, dass die Richtlinie mit hoher Wahrscheinlichkeit auf rechtliche Anfechtungen und Widerstand von Seiten stoßen wird, die argumentieren, dass private Unternehmen nicht in staatliche Hacking-Operationen verwickelt werden sollten . Das Memorandum selbst räumt Risiken ein und verlangt von den teilnehmenden Firmen die Hinterlegung einer erheblichen finanziellen Sicherheit, die bei Nichteinhaltung verfallen kann. Das Programm genehmigt keine uneingeschränkten „Hack-Back“-Operationen – jede Aktion bleibt von der Zustimmung des Bundes abhängig –, doch Kritiker merken an, dass die Übertragung offensiver Cyber-Fähigkeiten an private Firmen neue Wege für potenziellen Missbrauch und Eskalation eröffnet .