Grenzen setzen in der Entgrenzung

Der Cyberraum: Unendliche Weite! Doch diese unendliche Weite des Internets eröffnet zugleich unbegrenzte Möglichkeiten für grenzüberschreitende Cyberangriffe von innen und außen. Die Etablierung einer funktionstüchtigen Sicherheitsarchitektur im digitalen Raum stellt die Grundentscheidung des Grundgesetzes für eine wehrhafte Sicherheitsverfassung vor eine fundamentale Herausforderung. Vor dem Hintergrund verblassender Orts- und Staatsgrenzen erweist sich die verfassungsrechtliche Trennung zwischen innerer und äußerer Sicherheit, ziviler Gefahrenabwehr und militärischer Verteidigung als strukturelle Hürde für staatliches Handeln. Zur Schließung dieser verfassungsrechtlichen Schutzlücke bedarf es einer Neuausrichtung der Sicherheitsarchitektur, die mit einer vorläufigen Erstzuständigkeit des Bundeskriminalamtes einen verfassungsfesten Kompromiss zwischen effektivem Grundrechtsschutz und strikter Gewaltenteilung schafft.

Entgrenzung des (digitalen) Raums und ein verblassendes Gewaltmonopol

Das einfache und Verfassungsrecht begegnet digitalen Bedrohungen bislang über ein fragmentiertes Gefüge unterschiedlicher Regelungsbereiche, die vom Polizeirecht, Nachrichtendienstrecht und Wehrrecht über das Cybersicherheitsrecht sowie Katastrophen- und Zivilschutzrecht bis hin zum Strafrecht reichen. Auch ganz aktuell arbeitet der Gesetzgeber an einem Gesetzesentwurf zur Stärkung der Cybersicherheit¹⁾, der wiederum verschiedene Bundesgesetze in den Blick nimmt und Kompetenzen verschiedener Sicherheitsbehörden ausweiten möchte. Hinter dieser normativen Zersplitterung steht eine Vielzahl heterogener Akteure, welche die Polizeien der Länder und des Bundes (Bundespolizei und Bundeskriminalamt), den Bundesnachrichtendienst, die Bundeswehr sowie Bundes- und Landesämter (beispielsweise BSI und ZITiS) umfasst. Dennoch fällt es dem Staat zusehends schwerer, sein zentrales Sicherheitsversprechen und das damit korrespondierende Gewaltmonopol angesichts der globalen digitalen Vernetzung einzulösen.²⁾

Das strukturelle Problem der verblassenden Orts- und Staatsgebundenheit erschwert die Einordnung von Cyberangriffen in tradierte rechtliche Kategorien wie innere und äußere Sicherheit oder staatliche und nicht-staatliche Aggressoren erheblich. Zugleich bereitet es Schwierigkeiten, digitale Angriffe in klassische Gefahrenkategorien wie den kriegerischen Angriff, die konkrete Gefahr oder die Störung einzuordnen. Während der Begriff der hybriden Bedrohung in der politischen Praxis Abhilfe schaffen soll,³⁾ vermag diese Formulierung kaum über die begrifflich-theoretische Verlegenheit und politisch-praktische Hilflosigkeit hinwegzutäuschen.⁴⁾

Die Frage nach einem tragfähigen Konzept zur schnellen Einordnung und Bewältigung von Cyberangriffen bleibt ungelöst. Denn gerade der Faktor Zeit spielt bei der effektiven Bekämpfung von Cyberangriffen eine zentrale Rolle. Dies wiegt umso schwerer, als eine wirksame Cyberabwehr nicht bloß passive Sicherungsmaßnahmen erlaubt, sondern zunehmend aktive Maßnahmen erfordert. Das Eindringen in fremde IT-Netze, das Überwinden von Passwortschwellen sowie das Einwirken auf fremde Systeme zur Störung oder Funktionsunfähigmachung besitzen grundrechtlichen Eingriffscharakter.⁵⁾ Sämtliche Gegenmaßnahmen müssen sich folglich an den verfassungsrechtlichen Vorgaben messen lassen.

Die dogmatische Dualität der Cyberverteidigung und der zivilen Cyberabwehr

Zur rechtssicheren Begründung staatlicher Eingriffsbefugnisse fordert das Grundgesetz eine strikte begriffliche Abgrenzung zwischen militärischen und zivilen Maßnahmen (Art. 87a Abs. 2 GG). Obgleich dies im Widerspruch zum Konzept einer Gesamtverteidigung steht⁶⁾ und die Verfassung punktuelle Verknüpfungen kennt – etwa in Art. 73 Abs. 1 Nr. 1, Art. 80a Abs. 1 S. 1 und Art. 87b Abs. 2 S. 1 GG –, trennt das Grundgesetz die Bereiche innere und äußere Sicherheit hinsichtlich der Befugnisse und Zuständigkeiten konsequent.

Der Einsatz der Bundeswehr und ihrer Cyberfähigkeiten zur militärischen Cyberverteidigung unterliegt denselben verfassungsrechtlichen Rahmenbedingungen wie sonstige militärische Verwendungen.⁷⁾ Ein militärisches Einschreiten bezieht sich auf den äußeren Notstand und ist im Grundgesetz in vier Stufen gegliedert: Verteidigungsfall (Art. 115a–115l GG), Spannungsfall (Art. 80a Abs. 1 S. 1 Alt. 1 GG), Zustimmungsfall (Art. 80a Abs. 1 S. 1 Alt. 2 GG) und Bündnisfall (Art. 80a Abs. 3 GG).

Diesen Stufen vorgelagert ist die Unterscheidung zwischen dem staatlichkeitsimmanenten Verteidigungsrecht der Bundesrepublik einerseits und dem Selbstverteidigungsrecht nach Art. 51 der UN-Charta oder der Verteidigung im Rahmen von Systemen kollektiver Sicherheit (Art. 24 Abs. 2 GG) andererseits. Bei der militärischen Cyberverteidigung muss über diese Stufen hinausgedacht werden. Nicht jedes Handeln der Streitkräfte im Cyberraum erfüllt die Qualität eines Einsatzes nach Art. 87a Abs. 2 GG, was etwa für den reinen Betrieb passiver Sicherungsmaßnahmen wie Firewalls gilt.

Offensive Aktionen im Cyberraum sind Streitkräfteeinsätze, die zur Verteidigung (Art. 87a Abs. 1 S. 1, Abs. 2 GG) oder im Spannungsfall (Art. 80a, Art. 87a Abs. 2 GG) gerechtfertigt sein können. Der Verteidigungsbegriff setzt dabei aber grundsätzlich einen bewaffneten Angriff von außen voraus. Auch Cyberattacken können diese Qualität aufweisen, wenn ihre Wirkung der Wirkung eines Angriffs mit herkömmlichen militärischen Waffen gleichkommt.⁸⁾

Einsatzbefugnisse zum Schutz ziviler Objekte stehen der Bundeswehr im Verteidigungs- und Spannungsfall nach Art. 87a Abs. 3 GG ebenfalls zu, soweit es sich um verteidigungsrelevante Objekte handelt oder eine entsprechende Schutzaufgabe zur Polizeiunterstützung übertragen wurde. Dies betrifft etwa Angriffe auf Sicherheitsbehörden und militärische Infrastruktur. Ein Tätigwerden ist auch bei einem besonders schweren Unglücksfall nach Art. 35 Abs. 2 S. 2, Abs. 3 GG denkbar, wenn Cyberangriffe kritische Infrastruktur massiv beeinträchtigen und etwa zu einem großflächigen Stromausfall führen. Diese Schwelle könnte aber auch durch eine Grundgesetzänderung herabgesetzt werden, was effektiver Amtshilfe im Bereich von Fällen von besonderer Bedeutung Rechnung tragen würde.⁹⁾ Auch das Vorliegen eines inneren Notstandes nach Art. 87a Abs. 4 GG kommt bei Angriffen auf staatliche Strukturen in Betracht, weshalb die Verfassung zeitgemäß interpretiert werden muss. Diese verteidigungsfreundliche Auslegung wird kompetenzrechtlich begrenzt durch das Verbot des Angriffskrieges (Art. 26 Abs. 1 GG) sowie den Vorrang der Gefahrenabwehr der Bundesländer (Art. 30, Art. 70 Abs. 1 GG).

Von der militärischen Cyberverteidigung ist die zivile Cyberabwehr strikt zu trennen. Sie wird im Hinblick auf Spionage und verfassungsfeindliche Aktivitäten im Inland durch den Verfassungsschutz ausgeführt (worauf nicht weitergehend eingegangen werden wird). Im Übrigen aber folgt die zivile Cyberabwehr der Logik des Gefahrenabwehrrechts, wonach die Abwehr von Gefahren und Störungen für die öffentliche Sicherheit und Ordnung im Inneren Aufgabe der Landespolizeien ist (z. B. § 1 Abs. 1 Polizeigesetz Nordrhein-Westfalen, Art. 2 Abs. 1 Polizeiaufgabengesetz Bayern, § 3 Abs. 1 Gesetz zum Schutz der öffentlichen Sicherheit und Ordnung Hamburg). Die Eingriffsbefugnisse finden sich in den Landespolizeigesetzen und setzen eine konkrete Gefahr oder Störung voraus. Eine konkrete Gefahr liegt dabei vor, wenn ex ante aus der Perspektive eines besonnenen Beamten bei ungehindertem Geschehensablauf mit hinreichender Wahrscheinlichkeit ein Schaden an einem Schutzgut zu erwarten ist. Die Störung stellt die verwirklichte Gefahr dar, zu deren Abwehr der Störer in Anspruch genommen werden kann.

Anders als im militärischen Kontext ist dabei mit Blick auf den Störer zunächst unerheblich, von wo dieser kommt. Es kommt darauf an, dass sich Gefahr oder Störung im Zuständigkeitsbereich der jeweiligen Polizeibehörde verwirklichen. Das ist jedoch wiederum mit Blick auf die Grenzenlosigkeit der digitalen Welt problematisch. Denn Cyberangriffe können sich in der vernetzten Welt eben auch vernetzt und nicht nur lokal auswirken. Wenn es in der Folge um den konkreten Zugriff auf Störer geht, dann differenziert das Gefahrenabwehrrecht zwischen Verhaltens-, Zustands- und sogenannten Nichtstörern. Der Verursacher eines Cyberangriffs ist dabei durch sein Handeln ursächlich für eine Gefahr oder Störung und daher als Verhaltensstörer polizeipflichtig.

Neben den Landespolizeien verfügen die Bundespolizei nach dem Bundespolizeigesetz (BPolG) und das Bundeskriminalamt nach dem Bundeskriminalamtsgesetz (BKAG) über weitere sicherheitsrechtlich relevante Kompetenzen (etwa im Kontext der Terrorabwehr), die durch den bereits erwähnten Gesetzesentwurf zur Stärkung der Cybersicherheit ausgeweitet werden sollen.

Der dadurch entstandene Flickenteppich an Zuständigkeiten und unterschiedlichen Eingriffsbefugnissen stellt ein weiteres potenzielles Hemmnis einer effektiven Gefahrenabwehr im digitalen Raum dar. Da wo Cyberangriffe an Ländergrenzen nicht stoppen, sind an (Bundesländer-)Grenzen und Bundeszuständigkeiten ausgerichtete, differenzierte Abwehrmöglichkeiten hinderlich für die Effektivität der Gefahrenabwehr.

Die zunehmend gewünschten Verlagerungen von Maßnahmen in das Gefahrenvorfeld führen zudem zur Verwässerung klassischer Gefahrenbegriffe. Wo tradierte Gefahrenkategorien ein zeitgemäßes Handeln nicht mehr rechtssicher machen, muss sich effektiver Grundrechtsschutz stärker an den betroffenen Schutzgütern und der Eingriffsintensität orientieren.

Nun könnte man die strukturelle Schutzlücke auch als verfassungspolitische Entscheidung deuten oder aber auch als der Kraft des Faktischen geschuldet ansehen.

Jedenfalls kollidiert die Transnationalität und Geschwindigkeit von Cyberangriffen mit der kleinteiligen deutschen Kompetenzverteilung. Zudem ist ex ante häufig unklar, ob ein Cyberangriff aus dem In- oder Ausland vorliegt. Zusätzlich erschwerend wirkt der digitale Raum selbst, aus dem heraus die Cyberangriffe begangen werden. Die technische Funktionsweise des Internets verkompliziert den Zugriff und gezielte behördliche Gegenmaßnahmen,¹⁰⁾ die zudem stets zeitkritisch sind. Gerade diese zeitliche Dringlichkeit effektiver Cyberabwehr im Kontext hoher Komplexität und unterschiedlicher Zuständigkeiten offenbart eine strukturelle Schutzlücke des Grundgesetzes.

Die Verfassungspolitik steht vor einer Grundsatzentscheidung. Einerseits lässt sich argumentieren, dass die Bedrohungslage eine dogmatische Revision der Sicherheitskategorien erzwingt, um die Handlungsfähigkeit im Rahmen völkerrechtskonformer Regelungshoheit (jurisdiction to prescribe) und Vollstreckungshoheit (jurisdiction to enforce) sicherzustellen. Andererseits spricht vieles dafür, an überkommenen Kategorien festzuhalten und auf die technische Entgrenzung mit einer umso strikteren Einhaltung der verfassungsrechtlichen Trennung zwischen Polizei, Nachrichtendiensten und Militär sowie einer prozeduralen und kooperativen Ausgestaltung zu antworten.

Was aber, wenn es einen Weg aus der Verlegenheit gibt?

Ohne Veränderungen wird der Staat den Herausforderungen durch Cyberangriffe nicht effektiv entgegentreten können. Unsicherheiten über Urheber, Ausgangspunkt, Ausmaß und Folgen von Cyberangriffen dürfen einer effektiven Bekämpfung mit gleichen Wirkmitteln nicht im Wege stehen.¹¹⁾ Um diesem Dilemma etwas entgegenzusetzen, bedarf es eines neuen Modells der vorläufigen Zuständigkeit. Zur Abwehr von Cyberangriffen muss ad hoc Handlungsfähigkeit im Rahmen einer vorläufigen Zuständigkeit hergestellt werden, die mit zunehmender Erkenntnislage in reguläre Zuständigkeiten überführt wird.

Hierfür sind zwei Ansätze denkbar: Erstens könnte der Bundeswehr eine neue Kompetenz für Cyberangriffe im Vorfeld des Verteidigungsauftrags im Grundgesetz eingeräumt werden.¹²⁾ Dies würde jedoch angesichts der grundgesetzlichen Festlegung der Streitkräfte auf die Landesverteidigung einen stärkeren systemischen Umbruch bedeuten. Vorzugswürdig ist zweitens die Schaffung einer Kompetenz für das Bundeskriminalamt in Art. 73 Abs. 1 Nr. 9b GG analog zu Nr. 9a GG für länderübergreifende Gefahren oder unklare Zuständigkeiten. Dies könnte sogar wie in Art. 73 Abs. 1 Nr. 9a GG formuliert werden und um eine vorläufige Zuständigkeit erweitert werden. Dies setzt eine auskömmliche Personal- und Mittelausstattung voraus. Flankierend (aber nicht ersetzend) soll auch der Bundesnachrichtendienst nach dem aktuellen Entwurf des Bundeskabinetts mit Kompetenzen im Bereich der Abwehr von Cyberangriffen ausgestattet werden.¹³⁾ Auch wenn diese Kompetenzen begrenzt sein müssten auf das Zuständigkeitsraster des Bundesnachrichtendienstes, wird es spannend zu sehen sein, wie sich die Aufklärungstätigkeit in der Zukunft entwickelt und welche Sicherheitsbehörde hier praktisch den „ersten Angriff“ übernehmen wird.

Fazit

Cyberangriffe führen zur „Nagelprobe für den Selbstbehauptungswillen des Staates“.¹⁴⁾ Nur durch die Kombination rechtlicher Reformen mit technischer Innovation lässt sich eine aktive Cyberabwehr verfassungsrechtlich und praktisch realisieren.

Es bedarf einer klaren Regelung im Grundgesetz und ausführenden Gesetzen dazu, wer im Zweifelsfall die ersten Abwehrmaßnahmen gegen Cyberangriffe vornehmen darf. Hierfür erscheint das Bundeskriminalamt mit einer zu schaffenden Einheit sachgerecht und im Rahmen der bisherigen Regelungsentscheidungen des Gesetzgebers auch geeignet.

Aber selbst dieser Lösungsansatz darf nicht darüber hinwegtäuschen, dass die Bekämpfung von Cyberangriffen keine exklusive Aufgabe eines staatlichen Akteurs sein kann. Die Ertüchtigung der weiteren Dienste und auch des Militärs durch gesetzliche Befugnisse, technische Mittel und Personal bleibt daneben unbenommen sinnvoll und notwendig, um effektiv gegen die Gefahren von Cyberangriffen vorzugehen.

Die hybriden Bedrohungen unserer Zeit zeigen, dass es klarer Kompetenzregelung und zugleich einer engen Zusammenarbeit zwischen Sicherheitsbehörden im Rahmen der zivilen Cyberabwehr sowie der Bundeswehr im Rahmen der militärischen Cyberverteidigung bedarf.