Es herrscht Besorgnis in der Welt über das Risiko einer nuklearen Eskalation zwischen Russland und dem Westen, doch jetzt ist auch die Zeit gekommen, sich Gedanken über die Gefahr zu machen, dass ein Cyberkonflikt zu einem Krieg eskaliert. In den letzten Jahren haben verschiedene Wissenschaftler und Praktiker argumentiert, dass ein Cyberkonflikt eher als ein Geheimdienstkrieg oder als Druckventil betrachtet werden sollte, anstatt als etwas, das zu einem tatsächlichen Konflikt oder Krieg eskalieren könnte. Bisher hat kein Staat auf einen Cyberangriff eines Rivalen mit einer kinetischen Vergeltung reagiert. Doch das bedeutet nicht, dass es nicht jetzt geschehen könnte. Mit veränderlichen geopolitischen Umständen wird sich auch das eskalative Potenzial der Cyberfähigkeiten wahrscheinlich verändern.
Moskau könnte beispielsweise auf westliche Sanktionen mit verstärkten Cyberangriffen reagieren. Oder westliche Führungspersonen könnten, nachdem sie erkannt haben, dass Flugverbotszonen zu riskant sind, möglicherweise Cyberinterventionen genehmigen, um zivile Massaker zu verhindern. In beiden Fällen könnten sie gut davon ausgehen, dass diese Eskalation nicht mit einer direkten militärischen Reaktion beantwortet würde. Jedoch könnten sie sich in beiden Fällen irren. Die Minimierung dieses Risikos erfordert sowohl das Anerkennen als auch das Respektieren des latenten, aber starken eskalativen Potenzials von Cyberangriffen.
Es erfordert auch ein tieferes Eingehen auf die Psychologie der Situation, da die Eskalation sowohl durch die Wahrnehmungen als auch durch die Fehlwahrnehmungen der Beteiligten genauso stark vorangetrieben wird wie durch technische Aspekte der Cyberkriegsführung. Die gute Nachricht ist, dass Cyberangriffe bisher nicht besonders eskalatorisch oder effektiv auf dem Schlachtfeld erwiesen haben. Selbst die provokativsten Ereignisse, die am ehesten kinetischen Angriffen ähnelten, wie Stuxnet oder der Ransomware-Angriff auf die Colonial Pipeline, haben nicht zu besonders bedrohlichen Krisen oder gar Kriegen geführt. Wenn überhaupt, haben Cyberfähigkeiten in den letzten zehn Jahren dazu beigetragen, Krisen zu deeskalieren, indem sie als "nicht-kinetische Option für Führungspersonen fungierten, die unter Druck standen, in einer Krise zu handeln, aber vorsichtig waren, Gewalt anzuwenden." Der Konflikt der USA mit dem Iran bietet ein klares Beispiel.
Nachdem der Iran im Juni 2019 mehrere Öltanker angegriffen und eine US-Drohne abgeschossen hatte, sagte Präsident Donald Trump punitive US-Luftangriffe in letzter Minute ab, weil er befürchtete, dass die Opfer zu weiterer Eskalation führen könnten. Er erlaubte jedoch nicht tödliche Störungen der iranischen Computersysteme im Cyberraum und ging davon aus, dass der Iran nicht gewaltsam reagieren würde. Tatsächlich blockierte der oberste Führer des Irans jede große direkte Vergeltung und beschränkte die Antwort des Landes auf den Cyberbereich. Gelehrte haben verschiedene Erklärungen für die nicht-escalatorische Natur dieser Angriffe angeboten. Cyber-Wirkungen sind "unsicher und oft relativ begrenzt" und bieten den Großmächten eskalatorische Ausweichlösungen und Signalmechanismen, um zur Deeskalation beizutragen.
Im "cyberstrategischen Wettbewerbsraum oberhalb des bewaffneten Konflikts" haben Staaten "stillschweigend untere und obere Grenzen vereinbart" und dementsprechend "gegenseitige Interessen, eine Eskalation zum gewaltsamen Konflikt zu vermeiden." Cyberkonflikte haben auch Merkmale eines Geheimdienstwettbewerbs, nicht eines militärischen. Doch Cyberkonflikte haben in einer relativ friedlichen Zeit blühen können, in der die großen Mächte im Allgemeinen einander nicht angegriffen haben. Vielleicht fungierten Cyberfähigkeiten einfach als Druckventil, weil die Staaten in der Zeit nach dem Kalten Krieg normalerweise eine Deeskalation wünschten und die geopolitischen Einsätze ohnehin nicht besonders hoch waren? Was passiert jetzt, wenn Moskau das Gefühl hat, dass die Einsätze viel höher sind? Bereits jetzt gibt es Warnungen, dass Putin, wenn russische Truppen weitere Rückschläge erleiden, in verzweifelte und letztlich selbstschädigende Maßnahmen geraten könnte. Eine große Cybermacht hat eine solche Krise noch nie erlebt, so dass vergangenes Handeln ein begrenzter Indikator für zukünftiges Potenzial sein könnte.
Tatsächlich könnte allein die Wahrnehmung, dass Cyberangriffe nicht eskalatorisch seien, das Risiko einer unbeabsichtigten Eskalation erhöhen. Es gibt mehrere Möglichkeiten, wie sich ein Cyberkonflikt um die ukrainische Invasion herum zu einem direkten Konflikt zwischen Russland und der NATO entwickeln könnte, möglicherweise als Ergebnis von Offensiven auf beiden Seiten. Erstens könnten russische offensive Cyberoperationen einen umfassenderen Krieg auslösen. Präsident Wladimir Putin hat erklärt, dass Sanktionen "einer Kriegserklärung ähneln" und aggressive Cyberangriffe als perfekte Antwort betrachten könnte, insbesondere da sie reversibel und nicht tödlich sind. Russland ist seit Jahrzehnten eng mit den westlichen Wirtschaften, insbesondere im Energie- und Finanzbereich, verflochten.
Doch nun, wo die Bindungen schnell und erbarmungslos gekappt werden, müsste Russland nicht mehr befürchten, Konsequenzen zu tragen, wenn seine Cyberkräfte westliche Banken oder LNG-Terminals stören würden. Wenn man aus dem Spiel ausgeschlossen ist, warum dann nicht einfach den Tisch umdrehen? Russlands Cybergeneräle könnten genauso begeistert sein wie ihre Armee-Kollegen. Sie könnten Putin versichern, dass ihre Kräfte kampfbereit sind und den Westen schnell und ohne Blutvergießen dazu bringen können, einzulenken. Putin könnte überzeugt sein, dass störende Angriffe gegen den Westen kein großes Problem seien, ein kostengünstiges Signal, dass der Westen deeskalieren sollte oder einfach der nächste logische Schritt in einem nicht eskalatorischen Geheimdienstwettbewerb. Schließlich fand eine US-Studie heraus, dass Amerikaner auf Cyberangriffe weniger wahrscheinlich mit Vergeltung mit Gewalt reagieren als auf einen traditionelleren Angriff.
Das kann auf zwei Arten zu Eskalation führen. Die Vereinigten Staaten – zusammen mit Ländern wie dem Vereinigten Königreich, Frankreich und den Niederlanden – könnten durchaus entscheiden, sich gegen solche Angriffe verteidigen zu wollen. General Paul Nakasone, der Kommandeur des US Cyber Command, hat darauf bestanden, dass seine Kräfte "diesen Kampf gegen den Feind aufnehmen müssen, wie wir es in anderen Aspekten eines Konflikts tun." Sein damaliger stellvertretender Kommandeur hat auch argumentiert, dass die Vereinigten Staaten "kein Gebiet an ihre Adversären abtreten können" dürfen, da die "Russland so lange weitermachen wird, bis wir zurückschlagen." Schlimmer noch, Dmitri Alperovitch warnte kürzlich, dass, wenn Russland Cyberangriffe starten sollte, nachdem "[d]ie Macht der wirtschaftlichen Sanktionen bereits ausgeschöpft ist, Amerika und seine europäischen Verbündeten nur noch wenige Möglichkeiten hätten, auf diese Angriffe mit eigenen offensiven Cyberangriffen zu reagieren.
" Solche Dynamiken können eine sich spiralförmig entwickelnde Eskalation im Cyberbereich fördern, die möglicherweise ein Eigenleben außerhalb der Kontrolle der Entscheidungsträger annimmt. Zweitens könnten westliche offensive Cyberoperationen Krieg auslösen. US-Cyberespionage und Operationen gegen Putin, seine Kumpel oder Russlands Militärkräfte werden für Putin wesentlich bedrohlicher erscheinen, wenn er glaubt, dass sie auf einen Regimewechsel abzielen. Könnte Putin die andere Wange hinhalten, wenn die Vereinigten Staaten die Kryptowährungs-Wallets der russischen Sanktionen umgehenden Kleptokraten elektronisch überfallen würden? Er könnte das Bedürfnis verspüren, seine eigenen Cyberoperationen als Teil seiner eigenen Version der vorwärtsgerichteten Verteidigung zu eskalieren. Es könnte auch auf dem Schlachtfeld zu Eskalation kommen.
Laut der New York Times sind Teams des US Cyber Command "darauf vorbereitet, Russlands digitale Angriffe und Kommunikation zu stören." Andere Teams sammeln mit Sicherheit digitale Informationen über den Standort und die Absichten der russischen Kampftruppen. Die USA teilen solche Informationen mit den Ukrainern, jedoch liefern sie anscheinend noch keine Echtzeit-Zielinformationen. Das könnte sich bald ändern, wenn die USA versuchen, die zunehmenden Angriffe auf Zivilisten zu mildern. Und mit seiner von der KGB geprägten Paranoia könnte Putin bereits die Präsenz von US-Verteidigungs- und Geheimdienstteams, die auf oder gegen russische Militärnetzwerke operieren, als Beweis für eine direkte US-Beteiligung am Krieg ansehen.
Seine offensichtliche Überzeugung, dass die Ukraine nur eine NATO-Marionette ist, könnte dies dazu zwingen, eine Reaktion zu fordern, entweder im oder außerhalb des Cyberraums. Darüber hinaus könnte es zu einer Eskalation kommen, wenn westliche Regierungen Russlands operationelle militärische Netzwerke infiltriert haben. Sie könnten unter Druck geraten, diese Netzwerke zu stören, um Massaker an Zivilisten zu verhindern. Da Cyberfähigkeiten als nicht tödlich, reversibel und nicht eskalierend angepriesen werden, könnten aufstachelnde Zeitungen Entscheidungsträger dazu bringen, Schüsse abzugeben, die sie sonst nicht abgeben würden: "Wir können keine Flugverbotszone schaffen, aber wir können Cyberfähigkeiten verwenden, um zivilen Schaden zu verhindern." Einige gutmeinende nationale Führer könnten diesem Druck nachgeben und damit potenziell einen größeren Konflikt auslösen.
Auch wenn Russland und der Westen diesmal einen direkten Konflikt vermeiden, könnten sie beim nächsten Mal nicht so viel Glück haben. Wenn sich die Beziehungen verschlechtern, könnten zukünftige Störungen der kritischen westlichen Infrastruktur durch russische Geheimdienste, wie die Angriffe NotPetya und Olympic Destroyer, weniger als bloße Verbrechen betrachtet werden. Wiederholte beinahe kriegsähnliche Krisen könnten die stillschweigenden Vereinbarungen und die relative Zurückhaltung leiserer Zeiten weiter aushöhlen. Nach wiederholten Iterationen zunehmender Cyberoperationen könnten sowohl Russland als auch der Westen das Gefühl haben, dass ihnen die Optionen ausgehen, außer militärischer Gewalt zu ergreifen, wenn die nächste Krise – physisch oder cybermäßig – auftritt. Unter extremen Bedingungen könnten einige der gleichen Merkmale, die dazu führen, dass Cyberfähigkeiten als Druckventil fungieren, genau den gegenteiligen Effekt haben, einen Mechanismus, den Bob Jervis und ich als Eskalationsinversion bezeichnet haben.
Wenn Putin glaubt, dass ein direkter Konflikt mit der NATO wahrscheinlich ist und erwartet, dass seine Gegner Maßnahmen ergreifen, um Schwachstellen zu verringern, könnte er zu dem Schluss kommen, dass die beste Möglichkeit für Erfolg darin besteht, einen massiven präemptiven Cyberangriff zu starten. Da das US-Militär ansonsten unbesiegbar erscheinen könnte, könnte das Russland dazu veranlassen, "mit Kühnheit auszugleichen, um das Gleichgewicht wiederherzustellen." Je mehr die Vereinigten Staaten über ihren überwältigenden Offensiv-Cyber-Vorteil prahlen, aber über schwache Verteidigungslinien besorgt sind, desto mehr könnte jeder Gegner das Bedürfnis verspüren, die USA so früh und so hart wie möglich ins Visier zu nehmen. Wenn Russland befürchtet, dass der Krieg mit den Vereinigten Staaten am Samstag passieren könnte, könnte es das Bedürfnis verspüren, seine Cyberangriffe am Freitag zu starten. Wenn die Vereinigten Staaten dasselbe denken, könnten sie am Donnerstag beginnen.
Cyberfähigkeiten könnten für den Dritten Weltkrieg sein, was Mobilmachungszeitpläne für den Ersten Weltkrieg waren. Da ein Cyber-Überraschungsangriff ebenfalls weniger eskalatorisch erscheinen könnte, könnten Gegner versucht sein, Risiken einzugehen, die sie sonst nicht eingehen würden. In dieser Situation wird das Gefühl, dass Cyber ein Druckventil ist, positiv gefährlich: Wenn das System als stabil angesehen wird, gibt es weniger Grund, mit Zurückhaltung zu handeln, was es weniger stabil macht. Glücklicherweise scheinen führende US-Entscheidungsträger dieses Risiko erkannt zu haben. Wie kann Washington das Risiko reduzieren, dass Cyberangriffe in einen direkten Konflikt mit Russland eskalieren? Zunächst durch Anerkennung desselben.
Cyberkonflikte können in Friedenszeiten ein Geheimdienstwettbewerb oder ein Druckventil sein, jedoch etwas ganz anderes während oder nach einem größeren Krieg in Europa. Cyberkrieg kann weit einfacher in einen stolpern, wenn Staaten den Wolf an ihrer Tür fürchten. Zweitens erfordert die Kontrolle der Eskalation ein besseres Verständnis der politischen Psychologie – insbesondere des Denkens und der Verzweiflung eines schwer zu durchschauenden, zunehmend isolierten und blutbedeckten Tyrannen. Es gab mehr als genug Expertenkommentatoren, die glaubten, dass Putin niemals die Ukraine invadieren würde, weil es objektiv so irrational schien. Einschätzungen der Cybereskala müssen auch die scheinbare Irrationalität abdecken, einschließlich der Fehlwahrnehmungen, Fehler und Fehlkalkulationen, die selbst die vernünftigsten Führungspersonen dazu veranlassen können, sich in eine eskalatorische Spirale zu verwickeln, die nicht mehr unter ihrer Kontrolle liegt.
Drittens erfordert die Verhinderung von Eskalation, dass militärische und Nachrichtendienstführer Cyberfähigkeiten verstehen und respektieren. Cyberfähigkeiten sind keine "magischen unsichtbaren Waffen", sondern echte Waffen mit massiven, sich kaskadierenden Konsequenzen. Sie haben eine Reihe von Vorteilen und Einschränkungen, denen nüchterne nationale Führer genauso nähern sollten wie jedem anderen Waffenarsenal. Schließlich sollten wir, auch wenn wir diesmal ein knappes Unglück verhindern, nicht nachlässig werden. Persönlich würde ich die Chancen, dass ein Cyberkonflikt zu einem Krieg zwischen Russland und der NATO eskaliert, auf weniger als 10 Prozent einschätzen.
Mit Glück wird keine Eskalation eintreten, und man wird mich als "Cyberkatastrophenforscher" abschreiben. "Cyber funktioniert so nicht", werden wir uns sagen. "Erinnern wir uns an die Lehren des ukrainischen Cyber-Nicht-Krieges. Cyber eskaliert nicht. Es ist nicht auf dem Schlachtfeld nutzbar oder für das Zwangsausüben gegenüber anderen Staaten.
" Hoffentlich wird dies noch für Wochen oder sogar Jahre zutreffen. Aber die Welt befindet sich in den ersten Jahrzehnten eines Informationszeitalters, das noch lange anhalten wird. Mit der zunehmenden Digitalisierung und Abhängigkeit vieler Länder von anfälligen Informationstechnologien steigen die existenziellen Risiken von Cyberkonflikten. Jason Healey ist ein leitender Forschungswissenschaftler an der School for International and Public Affairs der Columbia University. Er ist der Herausgeber der ersten Geschichte des Konflikts im Cyberspace, A Fierce Domain: Conflict in Cyberspace, 1986 bis 2012.
Er half, das weltweit erste Cyberkommando im Jahr 1998 zu schaffen,.
