Befürworter offensiver Cyber Operationen weltweit argumentieren oft, dass die Fähigkeiten zu digitalen Gegenschlägen, Hackbacks, Angreifer davon abhalten könnten, unsere Systeme zu hacken. Wenn Vergeltung drohe, überlegt man sich zweimal, anzugreifen, so die Theorie. Dieses Cyber Deterrence Argument basiert allerdings auf einem verkürzten Verständnis von Abschreckung. Anders als im Kalten Krieg und dem Gleichgewicht des Schreckens, funktioniert der Cyberspace nach anderen Regeln, die Abschreckung erschweren. Das und mehr analysiere ich in einem neuen SWP-Aktuell.
Kurz zusammengefasst gibt es die folgenden Probleme: 1) Das Attributionsproblem erschwert die Zuordnung von Cyber Angriffen zu Akteuren. Das gilt sowohl beim initialen Cyber Angriff, auch bei etwaigen Gegenschlägen. Abschreckung braucht aber erfolgreiche Attribution um wirksam zu sein. 2) Offensive Cyber Fähigkeiten leiden unter dem Gesetz des sinkenden Ertrags. Sie können daher nicht glaubhaft zur Gewaltandrohung präsentiert werden, weil sie damit enttarnt werden könnten. 3) Abschreckung muss präzise und proportional sein. Das ist mit digitalen Mitteln sehr schwer zu justieren, da die Schadenswirkung oft nur schlecht abgeschätzt werden kann. 4) Cyber Fähigkeiten sind schlecht kontrollierbar, weshalb „escalation control“ schwierig ist. Das bedeutet, die Kontrolle über eine Eskalationsdynamik zu behalten, die nicht im Konflikt endet. 5) Nicht-staatliche Akteure, die ebenfalls Cyber Fähigkeiten haben, können nicht mit der gleichen Logik wie Staaten abgeschreckt werden. Das führt dazu, das die Abschreckung eines Großteils aller Cyber Aktivität, von Hacktivismus, Cyber Kriminalität bis Spionage nicht funktioniert. 7) Zuletzt gibt es gerade in Deutschland ein Glaubwürdigkeitsproblem, was die Bereitschaft zur Eskalation an geht.
Schulze, Matthias, Überschätzte Cyber-Abschreckung. Analyse der in der neuen US Cyber-Doktrin vorgesehenen Abschreckungspotenziale und Lehren für Deutschlands »aktive Cyberabwehr«, SWP-Aktuell 2019/A 39, Juli 2019, 8 Seiten, doi:10.18449/2019A39 (Link)
