Was die Richtlinie vorsieht

Das Memorandum beauftragt das National Coordination Center (NCC) mit der Einrichtung und Verwaltung eines Programms, das „Participating Companies“ (teilnehmende Unternehmen) zur Durchführung von „Cyber Effects Operations“ autorisiert. Dies sind Aktivitäten, die Informationssysteme, Netzwerke oder Daten manipulieren, stören, blockieren, beeinträchtigen oder zerstören – und zwar gegen ausländische kriminelle Netzwerke, die US-Bürger angreifen . Zu den Operationen gehören verdeckte Überwachung (z. B. der Einsatz von Spyware zur Informationssammlung) und disruptive Angriffe mit dem Ziel, Daten oder Systeme der Kriminellen zu zerstören . Das Programm sieht zudem „Cyber Surveillance Operations“ als separate genehmigte Aktivität vor .

Wichtige Voraussetzungen

Die Richtlinie definiert mehrere Sicherheitsvorkehrungen für teilnehmende Firmen :

• Kaution von 1 Million Dollar – Teilnehmende Unternehmen müssen eine Million Dollar als Sicherheitsleistung hinterlegen. Diese verfällt, falls die Regierung Verstöße gegen die Programmregeln feststellt .
• Gemeinsame Genehmigung durch Justiz- und Heimatschutzministerium – Jede Operation benötigt vor ihrer Durchführung die schriftliche Zustimmung von „Program Executive Directors“ sowohl des Justizministeriums (DOJ) als auch des Heimatschutzministeriums (DHS) .
• Verbot von Angriffen auf US-Bürger oder inländische Systeme – Das Memorandum schreibt Verfahren vor, die sicherstellen, dass keine Operation gegen US-Personen oder in den USA befindliche Systeme gerichtet ist .
• „Critical Outcomes“-Schwelle – Operationen, die wahrscheinlich zu Todesfällen oder schweren Verletzungen führen oder eine „Gewaltanwendung“ im Sinne des Völkerrechts darstellen, sind untersagt, sofern sie nicht gesondert genehmigt werden .
• Jährliche Berichterstattung – Die Programmdirektoren müssen dem Heimatschutzberater und dem Nationalen Cyber-Direktor innerhalb von 180 Tagen und danach jährlich Bericht erstatten .
• Offenlegung von Verträgen – Teilnehmende Unternehmen müssen dem NCC alle vertraglichen Beziehungen zu den ins Visier genommenen kriminellen Organisationen offenlegen .

Rechtlicher und politischer Wendepunkt

Die Richtlinie markiert eine historische Kehrtwende in der jahrzehntelangen US-Cybersicherheitspolitik. Nach dem Computer Fraud and Abuse Act (CFAA) unterlagen private Unternehmen denselben Einschränkungen wie jede andere Person – ihnen war der unbefugte Zugriff, das Hacken oder Stören ohne gerichtliche Anordnung grundsätzlich verboten . Die langjährige Position der US-Regierung, die über mehrere Regierungen hinweg Bestand hatte, besagte, dass die Privatwirtschaft sich gegen eingehende Cyberangriffe verteidigen, aber keine offensiven Cyberangriffe starten oder durchführen darf .

Dieses Memorandum räumt dieses Verbot für geprüfte Auftragnehmer unter staatlicher Aufsicht beiseite und schafft damit effektiv ein staatlich kontrolliertes „Hack-Back“-Programm, das offensive Cyber-Befugnisse an private Unternehmen delegiert . Das Weiße Haus erklärte, die Richtlinie erlaube es der Bundesregierung, „die Fähigkeiten und die Innovationskraft des Privatsektors“ zu nutzen, um Cyberkriminalität und Bedrohungen für US-Bürger – wie Ransomware-Angriffe, Finanzbetrug und Sextortion – zu bekämpfen .

Kritik und Bedenken

Kritiker warnen, dass die Richtlinie mit hoher Wahrscheinlichkeit auf rechtliche Anfechtungen und Widerstand von Seiten stoßen wird, die argumentieren, dass private Unternehmen nicht in staatliche Hacking-Operationen verwickelt werden sollten . Das Memorandum selbst räumt Risiken ein und verlangt von den teilnehmenden Firmen die Hinterlegung einer erheblichen finanziellen Sicherheit, die bei Nichteinhaltung verfallen kann. Das Programm genehmigt keine uneingeschränkten „Hack-Back“-Operationen – jede Aktion bleibt von der Zustimmung des Bundes abhängig –, doch Kritiker merken an, dass die Übertragung offensiver Cyber-Fähigkeiten an private Firmen neue Wege für potenziellen Missbrauch und Eskalation eröffnet .

Was die Richtlinie vorsieht

Das Memorandum beauftragt das National Coordination Center (NCC) mit der Einrichtung und Verwaltung eines Programms, das „Participating Companies“ (teilnehmende Unternehmen) zur Durchführung von „Cyber Effects Operations“ autorisiert. Dies sind Aktivitäten, die Informationssysteme, Netzwerke oder Daten manipulieren, stören, blockieren, beeinträchtigen oder zerstören – und zwar gegen ausländische kriminelle Netzwerke, die US-Bürger angreifen . Zu den Operationen gehören verdeckte Überwachung (z. B. der Einsatz von Spyware zur Informationssammlung) und disruptive Angriffe mit dem Ziel, Daten oder Systeme der Kriminellen zu zerstören . Das Programm sieht zudem „Cyber Surveillance Operations“ als separate genehmigte Aktivität vor .

Wichtige Voraussetzungen

Die Richtlinie definiert mehrere Sicherheitsvorkehrungen für teilnehmende Firmen :

• Kaution von 1 Million Dollar – Teilnehmende Unternehmen müssen eine Million Dollar als Sicherheitsleistung hinterlegen. Diese verfällt, falls die Regierung Verstöße gegen die Programmregeln feststellt .
• Gemeinsame Genehmigung durch Justiz- und Heimatschutzministerium – Jede Operation benötigt vor ihrer Durchführung die schriftliche Zustimmung von „Program Executive Directors“ sowohl des Justizministeriums (DOJ) als auch des Heimatschutzministeriums (DHS) .
• Verbot von Angriffen auf US-Bürger oder inländische Systeme – Das Memorandum schreibt Verfahren vor, die sicherstellen, dass keine Operation gegen US-Personen oder in den USA befindliche Systeme gerichtet ist .
• „Critical Outcomes“-Schwelle – Operationen, die wahrscheinlich zu Todesfällen oder schweren Verletzungen führen oder eine „Gewaltanwendung“ im Sinne des Völkerrechts darstellen, sind untersagt, sofern sie nicht gesondert genehmigt werden .
• Jährliche Berichterstattung – Die Programmdirektoren müssen dem Heimatschutzberater und dem Nationalen Cyber-Direktor innerhalb von 180 Tagen und danach jährlich Bericht erstatten .
• Offenlegung von Verträgen – Teilnehmende Unternehmen müssen dem NCC alle vertraglichen Beziehungen zu den ins Visier genommenen kriminellen Organisationen offenlegen .

Rechtlicher und politischer Wendepunkt

Die Richtlinie markiert eine historische Kehrtwende in der jahrzehntelangen US-Cybersicherheitspolitik. Nach dem Computer Fraud and Abuse Act (CFAA) unterlagen private Unternehmen denselben Einschränkungen wie jede andere Person – ihnen war der unbefugte Zugriff, das Hacken oder Stören ohne gerichtliche Anordnung grundsätzlich verboten . Die langjährige Position der US-Regierung, die über mehrere Regierungen hinweg Bestand hatte, besagte, dass die Privatwirtschaft sich gegen eingehende Cyberangriffe verteidigen, aber keine offensiven Cyberangriffe starten oder durchführen darf .

Dieses Memorandum räumt dieses Verbot für geprüfte Auftragnehmer unter staatlicher Aufsicht beiseite und schafft damit effektiv ein staatlich kontrolliertes „Hack-Back“-Programm, das offensive Cyber-Befugnisse an private Unternehmen delegiert . Das Weiße Haus erklärte, die Richtlinie erlaube es der Bundesregierung, „die Fähigkeiten und die Innovationskraft des Privatsektors“ zu nutzen, um Cyberkriminalität und Bedrohungen für US-Bürger – wie Ransomware-Angriffe, Finanzbetrug und Sextortion – zu bekämpfen .

Kritik und Bedenken

Kritiker warnen, dass die Richtlinie mit hoher Wahrscheinlichkeit auf rechtliche Anfechtungen und Widerstand von Seiten stoßen wird, die argumentieren, dass private Unternehmen nicht in staatliche Hacking-Operationen verwickelt werden sollten . Das Memorandum selbst räumt Risiken ein und verlangt von den teilnehmenden Firmen die Hinterlegung einer erheblichen finanziellen Sicherheit, die bei Nichteinhaltung verfallen kann. Das Programm genehmigt keine uneingeschränkten „Hack-Back“-Operationen – jede Aktion bleibt von der Zustimmung des Bundes abhängig –, doch Kritiker merken an, dass die Übertragung offensiver Cyber-Fähigkeiten an private Firmen neue Wege für potenziellen Missbrauch und Eskalation eröffnet .