Cyberangriff von „nie dagewesener Dimension“: Attacke auf Österreichs Außenministerium – Bundesheer hilft bei Abwehr

In Österreich kämpft das Außenministerium mit den Folgen eines massiven Cyberangriffs, der am 4. Januar begann und immer noch andauert. Am Dienstag sagte die neue Verteidigungsministerin Klaudia Tanner (ÖVP) in einem Interview mit der Zeitung „Österreich“, dass nun auch das Bundesheer im Rahmen von Amtshilfe bei der Abwehr des Cyberangriffs mitwirke.

„Wir erleben gerade einen in dieser Dimension noch nie da gewesenen Cyberangriff auf das Außenministerium, das die Spezialisten des Innenministeriums seit Tagen rund um die Uhr beschäftigt“, so Tanner. „Wir assistieren ab jetzt per Assistenzeinsatz dem Innenministerium in der Aufklärung und Abwehr dieses enormen Cyberangriffs.

Es sei, so Tanner, „das erste Mal, dass das Bundesheer im Sinne eines sicherheitspolizeilichen Assistenzeinsatzes mithilft“. Cyberattacken habe es bereits in der Vergangenheit gegeben. „Aber gegen ein staatliches Ziel hat es das noch nie in dieser Dimension gegeben.“ Bisher gebe es noch keine Hinweise auf die Urheber des Angriffs. Aber man arbeite „mit Hochdruck“ daran, dies herauszufinden.

Es ist das erste Mal seit der Konstituierung des neuen österreichischen Bundeskabinetts, dass sich ein Mitglied der Regierung zu dem Angriff auf das Außenministerium äußert. Am 4. Januar hatten das Außen- und das Innenministerium in einer gemeinsamen Pressemitteilung erklärt, dass die IT-Systeme des Außenministeriums von einem „schwerwiegenden Cyberangriff“ betroffen seien. Das Problem sei „sehr rasch erkannt“ und Gegenmaßnahmen eingeleitet worden. Weitergehende Informationen über die Art des Angriffs, über eventuelle Datenverluste und Schäden an der Hardware gibt es bis heute nicht.

Tanners Äußerungen von einem „noch nie da gewesenen Cyberangriff“ und der Amtshilfe durch das Bundesheer lassen jedoch darauf schließen, dass das Problem bisher nicht unter Kontrolle gebracht worden ist.

„Das ist keine Übung, das ist ein echter Einsatz“

Weder das österreichische Innen- noch das Verteidigungsministerium wollten sich inhaltlich zu den Einlassungen der frisch vereidigten Verteidigungsministerin äußern. Entsprechende Fragen von Tagesspiegel Background zur Art und Dauer der Amtshilfe sowie zu den Waffengattungen der eingesetzten Streitkräfte wurden mit dem Verweis auf die laufenden Abwehrbemühungen nicht beantwortet.

Ein Sprecher des österreichischen Verteidigungsministeriums sagte: „Das ist keine Übung, das ist ein echter Einsatz. Ich ersuche daher um Verständnis.“ Eine Pressemitteilung zu den aktuellen Vorgängen und zur Erläuterung der Aussagen Tanners hatte das österreichische Verteidigungsministerium bis Dienstagabend ebenfalls noch nicht versandt.

Das österreichische Innenministerium erklärte auf Nachfrage, welche rechtliche Basis das Amtshilfegesuch habe. Ein Sprecher verwies auf da Netz- und Informationssystemsicherheitsgesetz (NISG), das die Zuständigkeiten für die Gewährleistung von Cybersicherheit in Österreich regelt. Paragraph 3, Absatz 4 definiert den so genannten „Inneren Kreis der Operativen Koordinierungsstruktur“ (IKDOK), der ministeriumsübergreifend in der Abwehr von Gefahren für die IT-Netze kooperiert. Hier arbeiten Vertreter der Bundeskanzleramts, des Innenministeriums, des Außenministeriums und des Verteidigungsministeriums zusammen.

Forderung nach völkerrechtlicher Einordnung

Laut Paragraph 2 des NISG kommt dem IKDOK auch eine zentrale Rolle bei der Abwehr von Gefahren auf Einrichtungen der öffentlichen Verwaltung zu. Der IKDOK wird laut Paragraph 5 vom österreichischen Innenminister organisatorisch geleitet. Die zentralen Koordinationsfragen in Sachen Cybersicherheit werden in Österreich aber im Bundeskanzleramt entschieden. Bisher hat sich das österreichische Bundeskanzleramt nicht zu den Vorfällen geäußert und war am Dienstag für Fragen von Tagesspiegel Background nicht erreichbar.

Der Grund: Nach der Vereidigung der neuen Regierung am 7. Januar warten die Sprecher des Kanzleramts weiterhin darauf, dass ihnen feste Telefonanschlüsse zugeteilt werden. Auch eine Anfrage via Email blieb unbeantwortet.

Der österreichische Völkerrechtler Ralph Janik schrieb auf Twitter, dass das Eingreifen des Bundesheeres in die Abwehrbemühungen „langsam für das Vorliegen eines Angriffs von außen“ spreche, der das „Selbstverteidigungsrecht“ auslösen würde. Gegenüber Tagesspiegel Background forderte er eine Reaktion von der österreichischen Regierung ein. „Jetzt braucht es langsam eine konkrete rechtliche Bewertung. Idealerweise von der Regierung selbst. Von außen lässt sich das ja auf Grundlage der bekannten Informationen nicht wirklich einordnen.“

Theoretisch gibt es auch in Deutschland die Möglichkeit von Amtshilfe

In Deutschland wäre Amtshilfe durch die Bundeswehr bei Cyberangriffen theoretisch denkbar, wenngleich das Grundgesetz laut Artikel 35 diese Form des militärischen Assistenzeinsatzes nur bei „schweren Naturkatastrophen“ oder „Unglücksfällen“ vorsieht. Ein Sprecher des Bundesverteidigungsministeriums (BMVg) sagte zu Tagesspiegel Background, dass „Amtshilfemaßnahmen zum einen immer individuell vom Antragsverhalten der verantwortlichen Behörden und zum anderen von der individuellen rechtlichen Bewertung abhängen“.

Grundsätzlich würden zwischenstaatliche Auseinandersetzungen auch im Cyberraum stattfinden, so der Sprecher. „Daher muss die Bundeswehr für die Verteidigung Deutschlands im Cyberraum gerüstet sein.“ Für die Bundeswehr bedeute dies, auch den Eigenschutz der Führungs- und Waffensysteme im Cyberraum zu gewährleisten. Hierzu verfüge die Bundeswehr unter anderem über Fähigkeiten, um einem potenziellen Gegner die Nutzung des Cyberraumes zu erschweren oder völlig zu verwehren, so der Sprecher.

Rechtliche Schwierigkeiten für den Cyberraum

Rein rechtlich unterliegt die Bundeswehr im Cyberraum den gleichen Regeln wie bei konventionellen Einsätzen. Außerhalb der Amtshilfe und des Eigenschutzes ist ein Einsatz der Bundeswehr im Inneren nur im Verteidigungsfall möglich, der vom Bundestag mit Zwei-Drittel-Mehrheit festgestellt werden muss. Einsätze im Ausland müssen vom Bundestag mandatiert werden.

Im Cyberraum ergeben sich daraus besondere rechtliche Schwierigkeiten, beispielsweise wenn von ausländischen Servern aus Infrastrukturen innerhalb Deutschlands angegriffen werden. Im vergangenen Sommer brachte der Inspekteur des Cyber- und Informationsraums (CIR), Ludwig Leinhos, einen niedrigschwelligen „digitalen Verteidigungsfall“ ins Spiel. Später wollte er diesen Vorstoß als eine Neufassung der bereits bestehenden Amtshilfe verstanden wissen. Der Fall in Österreich könnte diese Debatte nun aufs Neue anheizen. (Mit Matthias Punz)