Digitale Kaperbriefe: USA erlauben Unternehmen offensive Cyberangriffe

Im Kampf gegen internationale Cyberkriminalität erprobt die US-Regierung einen neuen Ansatz: Sie will Unternehmen explizit das Recht geben, selbst Gegenoffensiven gegen Hacker zu starten. Das Programm wird teils als "digitale Kaperbriefe" bezeichnet und bezieht sich auf historische Präzedenzfälle, bei denen Staaten private Schiffe mit offizieller Genehmigung zum Entern von Handelsriffen einsetzten.

Die Idee dahinter ist pragmatisch: Regierungsbehörden sind oft nicht schnell genug, um auf Cyberangriffe zu reagieren, und verfügen nicht über die gleiche technische Tiefe wie spezialisierte Sicherheitsfirmen. Indem man diese Unternehmen ermächtigt, aktiv gegen Angreifer vorzugehen, könnten sich Hacker schneller abschreckend wirken lassen. Ein Unternehmen könnte beispielsweise einen Cyberkriminellen-Server beschädigen, Phishing-Infrastruktur lahmlegen oder Daten von Angreifern exfiltrieren, um diese der Justiz zur Verfügung zu stellen.

Allerdings bringt dieses Modell erhebliche rechtliche und sicherheitspolitische Unsicherheiten mit sich. Wo liegt die Grenze zwischen Verteidigung und Vergeltung? Wer haftet, wenn ein autorisierter Gegenangriff unbeabsichtigte Kollateralschäden verursacht? Wie wird verhindert, dass solche Ermächtigungen missbraucht werden oder zu unkontrolliertem Cyber-Wildwuchs führen? Die Diskussion ist noch offen, aber die USA signalisieren damit, dass der bisherige defensive Ansatz als unzureichend gilt.

Für europäische und Schweizer Unternehmen ist diese Entwicklung beobachtenswert. Sie könnten unter Druck geraten, ähnliche Massnahmen selbst zu ergreifen, oder sie müssen sich darauf einstellen, dass US-Firmen aggressiver Cyberangriffe abwehren. Schweizer Behörden und Unternehmen sollten prüfen, welche eigenen rechtlichen Möglichkeiten zur Cyberabwehr lokal verfügbar sind, und ob eine Harmonisierung mit internationalen Standards sinnvoll ist. Die klassische Unterscheidung zwischen Verteidigung und Angriff verschwimmt, und Unternehmen müssen ihre Compliance- und Versicherungsstrukturen entsprechend überdenken.