Die Herausforderung, mit der sich demokratische Gesellschaften im 21. Jahrhundert konfrontiert sehen, ist komplexer als je zuvor. Die Cyber-basierte Informationskriegsführung (IWIO) ist eine der ältesten und gleichzeitig am weitesten verbreiteten Formen von Konflikten, die nicht nur in militärischen, sondern auch in zivilgesellschaftlichen Auseinandersetzungen auftreten kann. Obwohl Informationskriegsführung schon immer Teil menschlicher Geschichte war, hat ihre Geschwindigkeit, Reichweite und vor allem die Nutzung moderner Technologien wie des Internets und sozialer Medien diese Bedrohung potenziert. Demokratische Institutionen, die traditionell auf Transparenz, Debatten und aufgeklärte Entscheidungen bauen, sind schlecht gerüstet, um mit diesen neuen, durch Technologie verstärkten Bedrohungen umzugehen.

Ein erheblicher Teil der Problematik liegt in der Art und Weise, wie die Gesellschaft auf Fehlinformationen reagiert. Studien zeigen, dass Menschen nicht weniger geneigt sind, falsche Informationen zu glauben, selbst nachdem sie darauf hingewiesen wurden, dass diese möglicherweise falsch sind. Diese Beständigkeit von Fehlinformationen wird noch verstärkt, wenn man bedenkt, dass unser Gedächtnis in Bezug auf falsche Informationen nicht zuverlässig ist und im Laufe der Zeit sogar dazu neigt, diese Informationen immer mehr zu verinnerlichen. Das bedeutet, dass eine bloße Verzögerung, um Menschen daran zu hindern, sich an falsche Informationen zu erinnern, keine nachhaltige Lösung darstellt. Auch langsame Informationspräsentationen oder das Reduzieren der Komplexität von Textinhalten, um eine genauere Analyse zu ermöglichen, haben sich als wenig hilfreich erwiesen.

In diesem Zusammenhang stellt sich die Frage, ob nicht der private Sektor eine bedeutendere Rolle bei der Bekämpfung von Fehlinformationen spielen könnte. Große private Unternehmen haben bereits Maßnahmen ergriffen, um der Verbreitung von Fehlinformationen entgegenzuwirken. Plattformen wie Facebook haben neue Protokolle eingeführt, um fragwürdige Nachrichtenquellen zu kennzeichnen, und Google hat Fake-News-Websites von seiner Werbedienstleistung ausgeschlossen. Twitter und YouTube gehen sogar so weit, Konten zu sperren, die terroristische Inhalte verbreiten. Diese Maßnahmen werden jedoch von vielen als hilfreich, aber unzureichend angesehen, um den zunehmenden Zustrom von Fehlinformationen zu stoppen. Der CEO von Facebook, Mark Zuckerberg, erklärte, dass das Unternehmen weniger auf das Verbot von Fehlinformationen setze, sondern mehr darauf, zusätzliche Perspektiven und Informationen zu präsentieren, darunter auch Faktenchecks, die die Richtigkeit bestimmter Inhalte in Frage stellen. Doch angesichts der kognitiven Verzerrungen und der erforderlichen mentalen Anstrengung für eine kritische Auseinandersetzung mit solchen Informationen stellt sich die Frage, wie wirksam dieser Ansatz wirklich ist.

Ein weiteres Problem ergibt sich aus der Art und Weise, wie diese großen Plattformen ihre Gemeinschaftsrichtlinien durchsetzen. Die Interaktion zwischen privaten Unternehmen und Endnutzern ist hauptsächlich durch die Allgemeinen Geschäftsbedingungen (AGB) geregelt, nicht durch Gesetze. In vielen Fällen haben diese Unternehmen keine gesetzliche Verantwortung, alle Meinungen zu schützen. Die AGB sind in der Regel so ausgelegt, dass sie Fehlinformationen und aufrührerische Rhetorik nicht effektiv verhindern, weil eine zu weitreichende Interpretation dieser Bestimmungen zu einer Entfremdung eines großen Teils ihrer Nutzerschaft führen könnte, was wiederum finanzielle Folgen hätte. Die Frage, was "offensichtliche" Fehlinformationen sind, variiert je nach Nutzerperspektive, und private Unternehmen sind in einer schwierigen Lage, wenn es darum geht, ihre Interessen mit der Aufrechterhaltung eines freien Austauschs von Informationen in Einklang zu bringen.

Ein möglicher Ausweg könnte die Entwicklung neuer Taktiken und Reaktionen auf diese Herausforderungen sein. Eine verstärkte Zusammenarbeit zwischen Unternehmen und Regierungen, sowie eine präzisere Regulierung von sozialen Medien und Plattformen, könnten zu einer Lösung führen. Allerdings sind umfassende Lösungen zur Bekämpfung von Fehlinformationen in freien und demokratischen Gesellschaften noch nicht in Sicht. Die Geschwindigkeit und der Umfang von Cyber-enabled IWIO machen es nahezu unmöglich, eine vollständige und wirksame Antwort zu finden, die sowohl die freie Meinungsäußerung schützt als auch gegen den Missbrauch von Informationsplattformen vorgeht.

Die Bedrohung durch Cyber-basierte Informationskriegsführung ist eine neue Art von Gefahr, die bestehende Gesetze und Konventionen oft umgehen kann und die spezifischen Stärken von Demokratien – ihre Offenheit und die garantierten Freiheiten – gegen sie verwendet. In vielen Fällen ist die Bedrohung nicht besonders technisiert oder hochentwickelt, sondern nutzt grundlegende Schwächen moderner IT-Systeme aus, die trotz aller Fortschritte in der Cybersicherheit immer noch bestehen. Eine rein technische Antwort auf IWIO wird daher in vielen Fällen nicht ausreichen.

Die eigentliche Herausforderung besteht darin, dass das Verständnis von „Fehlinformation“ und „Manipulation“ je nach Perspektive sehr unterschiedlich sein kann. Was für den einen offensichtlich falsch ist, mag für den anderen plausibel erscheinen. Ein größerer Fokus auf die Verbesserung der Medienkompetenz der Bevölkerung könnte eine sinnvolle Ergänzung zu technischen und rechtlichen Maßnahmen sein, um langfristig eine resistentere Gesellschaft gegen Fehlinformationen zu schaffen.

Wie internationale Normen und Exportkontrollen die Cybersicherheit im globalen Handel beeinflussen

Die rapide Verbreitung von Informations- und Kommunikationstechnologien (IKT) wird häufig als eine Erfolgsgeschichte des globalen Handels betrachtet, aber sie hat auch neue Risiken mit sich gebracht, die nicht unbeachtet bleiben können. Diese Technologien sind mittlerweile unverzichtbar für die Funktionsweise der Wirtschaft und des täglichen Lebens sowohl in entwickelten als auch in Entwicklungsländern. Doch die zunehmende Vernetzung und gegenseitige Abhängigkeit von Staaten und Märkten verstärken die Bedrohungen, denen diese Systeme ausgesetzt sind. Cyberangriffe, die von staatlichen und nichtstaatlichen Akteuren ausgehen, stellen eine wachsende Gefahr dar. In diesem Zusammenhang tauchen immer drängendere Fragen auf: Wie kann die internationale Gemeinschaft mit den steigenden Cybersicherheitsrisiken umgehen und gleichzeitig den globalen Handel mit IKT fördern? Eine Reihe von Staaten hat nationale Cybersicherheitsstrategien entwickelt, die diese Herausforderungen ansprechen, aber auch auf internationaler Ebene gibt es Bemühungen, die Risiken zu mindern.

Ein bedeutender Ansatz, um den internationalen Handel mit IKT zu fördern und gleichzeitig Cybersicherheitsrisiken zu minimieren, ist die Entwicklung und Implementierung von internationalen Normen und Zertifizierungen. Solche Normen bieten einen einheitlichen Maßstab für Sicherheitsmerkmale von Produkten und Dienstleistungen und schaffen Vertrauen in die Sicherheitsstandards von IKT-Systemen. Das Ziel dieser Normen ist es, die Sicherheit zu erhöhen und den Handel zu erleichtern, indem sie den Marktteilnehmern eine Grundlage bieten, um Produkte und Dienstleistungen in Bezug auf ihre Sicherheitseigenschaften zu bewerten. Ein zentraler Bestandteil dieser internationalen Normen ist die Rolle der Zertifizierung, bei der geprüft wird, ob bestimmte Sicherheitsanforderungen erfüllt sind.

Normen für Cybersicherheit sind nicht nur technische Spezifikationen, sondern umfassen auch Prozesse, Verfahren und organisatorische Strukturen, die eine effektive Zusammenarbeit zwischen den Beteiligten ermöglichen. In einer zunehmend globalisierten Weltwirtschaft, in der Produktions- und Lieferketten über Kontinente hinweg verknüpft sind, spielen internationale Cybersicherheitsnormen eine entscheidende Rolle bei der Sicherstellung eines einheitlichen Sicherheitsniveaus. So wird beispielsweise in der Cybersicherheitsstrategie der Europäischen Union betont, dass hohe Sicherheitsstandards nur erreicht werden können, wenn alle Akteure in der Wertschöpfungskette, von den Geräteherstellern bis hin zu den Anbietern von Informationsgesellschaftsdiensten, Cybersicherheit als Priorität betrachten.

Die Anwendung internationaler Standards und Zertifizierungssysteme hat das Potenzial, den globalen Handel zu fördern, indem sie das Vertrauen in die Sicherheit von IKT-Produkten stärkt und gleichzeitig ein fairen Wettbewerb gewährleistet. Standards bieten den Nutzern eine verlässliche Grundlage, um unterschiedliche Produkte und deren Sicherheitsniveaus zu vergleichen. Auf globaler Ebene schaffen diese Normen eine Grundlage, auf der Unternehmen ihre Produkte auf internationalen Märkten anbieten können, ohne befürchten zu müssen, dass sie aufgrund unvereinbarer Standards ausgeschlossen werden.

Es gibt jedoch auch Herausforderungen, die mit der Einführung nationaler Normen und Zertifikate einhergehen können. In einigen Fällen könnte dies den Handel einschränken, wenn diese Normen den Marktzugang von Unternehmen aus anderen Ländern behindern. Das Welthandelsabkommen über technische Handelshemmnisse (TBT-Abkommen) der Welthandelsorganisation (WTO) fordert, dass Standards und Normen nicht diskriminierend sind und keine unnötigen Handelsbarrieren schaffen. Staaten können zwar nationale Normen festlegen, um legitime Ziele wie die nationale Sicherheit zu verfolgen, aber das TBT-Abkommen betont, dass diese Normen auf internationalen Standards basieren sollten, um den internationalen Handel nicht unnötig zu erschweren.

Ein weiteres internationales Instrument, das zur Cybersicherheitsstrategie gehört, sind Exportkontrollen. Diese Kontrolle von IKT-Produkten zielt darauf ab, den internationalen Handel mit bestimmten Technologien zu beschränken, die für die nationale und internationale Sicherheit von Bedeutung sind. Ein solches System ist das Wassenaar-Abkommen, das die Kontrolle von Technologien wie Überwachungssystemen und Eindringsoftware regelt. Das Wassenaar-Abkommen trägt dazu bei, sicherzustellen, dass diese besonders sensiblen Technologien nicht in die falschen Hände geraten, was zu einer Erhöhung der globalen Cybersicherheit beitragen soll.

Die Herausforderung bei den Exportkontrollen liegt jedoch in der Definition von Technologien, die kontrolliert werden sollten. In einer sich ständig weiterentwickelnden technologischen Landschaft ist es schwierig, festzulegen, welche Technologien eine Bedrohung darstellen und daher einer Kontrolle unterzogen werden sollten. Darüber hinaus erfordert der multilaterale Charakter des Wassenaar-Abkommens eine hohe Zusammenarbeit und ein gewisses Maß an Vertrauen zwischen den Staaten, was nicht immer gegeben ist. Das bedeutet, dass die Effizienz dieser Exportkontrollen in der Praxis oft begrenzt bleibt.

Sowohl die internationalen Normen als auch die Exportkontrollen verfolgen das Ziel, die Cybersicherheit weltweit zu stärken, aber sie unterscheiden sich erheblich in ihrer Herangehensweise und ihren Auswirkungen auf den Handel. Normen und Zertifizierungen fördern den Handel, indem sie Vertrauen schaffen und einen fairen Wettbewerb ermöglichen, während Exportkontrollen den Handel in bestimmten Bereichen einschränken, um die Sicherheit zu gewährleisten. Beide Instrumente haben ihre Stärken und Schwächen und ihre Wirkung auf den globalen Handel und die Cybersicherheit ist nicht immer eindeutig.

Die internationale Gemeinschaft steht vor der Herausforderung, einen Balanceakt zwischen der Förderung des globalen Handels und der Sicherstellung der Cybersicherheit zu finden. Der internationale Handel mit IKT-Produkten wird weiterhin eine der treibenden Kräfte der globalen Wirtschaft bleiben, doch ohne ein effektives Sicherheitsnetz könnten die Risiken, die mit der Cybersicherheit verbunden sind, schwerwiegende Folgen haben.

Welche Rolle spielen internationale Handelsmechanismen bei der Bewältigung von Cybersecurity-Bedenken?

Die Informations- und Kommunikationstechnologien (IKT) sind zu treibenden Kräften für das wirtschaftliche Wachstum sowohl in entwickelten als auch in sich entwickelnden Volkswirtschaften geworden. Gleichzeitig hat die Verbreitung dieser Technologien die Staaten vor eine Reihe neuer Herausforderungen im Bereich der Cybersicherheit gestellt. In diesem Zusammenhang sind multinationale Handelsmechanismen, insbesondere internationale Standards und Exportkontrollen, als Instrumente zur Bewältigung von Cybersicherheitsbedenken ins Blickfeld geraten. Zwei solche Mechanismen sind das „Coordinating Committee for Export Controls“ (CCEC) sowie das „Wassenaar Arrangement“, die im Rahmen globaler Handels- und Sicherheitsbestimmungen eine wichtige Rolle spielen.

Das Wassenaar Arrangement, ein internationales Kontrollregime, zielt darauf ab, den Handel mit konventionellen Waffen und sogenannten Dual-Use-Gütern (also Gütern, die sowohl militärischen als auch zivilen Zwecken dienen können) zu harmonisieren. Es trat als Nachfolger des westlichen „Coordinating Committee on Multilateral Export Controls“ (COCOM) in Erscheinung, das in den frühen Jahren des Kalten Krieges gegründet wurde. Ursprünglich lag der Fokus des Wassenaar Arrangements auf der Kontrolle des Handels mit konventionellen Waffen, wobei zunehmend auch zivile Technologien, die für die nationale und internationale Sicherheit relevant sind, berücksichtigt wurden.

Die Problematik der Cybersicherheit hat das Arrangement jedoch vor neue Herausforderungen gestellt. Insbesondere die 2013 vorgenommenen Ergänzungen, die den Export von Überwachungssoftware und anderen Technologien zur Eindringung in Computersysteme betrafen, riefen eine breite Debatte über die Wirksamkeit und Angemessenheit solcher Kontrollen hervor. Diese Änderungen wurden teilweise durch eine koordinierte Kampagne der Zivilgesellschaft vorangetrieben, die insbesondere auf Menschenrechtsbedenken aufmerksam machte. Diese Bedenken, die traditionell außerhalb des Zuständigkeitsbereichs des Wassenaar Arrangements lagen, prallten auf die bestehenden Strukturen des Mechanismus. Diese Entwicklung zeigt, wie komplex das Thema Cybersicherheit in Bezug auf die Vielfalt der beteiligten Akteure und deren oft divergierenden Interessen ist.

Ein weiteres, gleichfalls entscheidendes Handelsinstrument stellt der CCRA (Common Criteria Recognition Arrangement) dar, der sich auf die internationale Anerkennung von Sicherheitszertifikaten für IKT-Produkte konzentriert. Ziel dieses Mechanismus ist es, Vertrauen in die Sicherheit von Produkten zu schaffen, indem ein standardisierter Zertifizierungsprozess etabliert wird. Der CCRA umfasst eine begrenzte Anzahl von Staaten und konzentriert sich auf Produkte, die von nationalen Sicherheitsbehörden verwendet werden. Auch wenn der CCRA eine wichtige Rolle im Bereich der Cybersicherheit spielt, ist er jedoch durch seine freiwillige und informelle Natur begrenzt, da weder die Teilnahme noch die Einhaltung der Standards durchsetzbar sind.

Die begrenzte Reichweite und die geringe Zahl an beteiligten Staaten führen zu einer grundlegenden Problematik: Der Mangel an effektiven internationalen und intergouvernementalen Mechanismen im Bereich der Cybersicherheit. Diese Lücke wird durch die dominierende Rolle nichtstaatlicher Akteure im Bereich der Standardsetzung und Zertifizierung verstärkt, die in vielen Fällen die Rolle der Regierungen übernehmen. Während der CCRA ein wesentliches intergouvernementales Instrument zur Gewährleistung der Produktsicherheit darstellt, bleibt das Wassenaar Arrangement als einzige bedeutende zwischenstaatliche Vereinbarung im Bereich der Exportkontrollen bezüglich Cybersicherheitsfragen bestehen.

Trotz der Bemühungen, diese Mechanismen zur Lösung der Cybersicherheitsproblematik zu nutzen, ist ihre Wirksamkeit umstritten. Die Einführung der Änderungen im Wassenaar Arrangement stieß in den USA auf erheblichen Widerstand, da die strengen Exportbeschränkungen als hinderlich für die wirtschaftliche und technologische Entwicklung angesehen wurden. Ähnlich wurde der CCRA wegen seines aufwendigen und kostspieligen Zertifizierungsprozesses kritisiert, der nur eine begrenzte Anzahl an Produkten und Sicherheitsebenen abdeckt.

Ein weiterer wichtiger Punkt ist, dass die Existenz von internationalen Handelsmechanismen zur Regulierung von Cybersicherheitsfragen durch das Fehlen klar definierter Begriffe und Standards erschwert wird. Die Diskussion über die Einordnung von „Intrusion Software“ verdeutlicht dies: Es ist schwierig, zwischen offensiven und defensiven Technologien zu unterscheiden, was die Bemühungen, den internationalen Handel mit IKT-Produkten zu erleichtern und gleichzeitig illegitime Technologien zu kontrollieren, erheblich erschwert.

Zusammengefasst lässt sich feststellen, dass die Anwendung internationaler Handelsmechanismen auf Cybersicherheitsprobleme bislang nur begrenzten Erfolg hatte. Die bisherigen Erfahrungen mit dem Wassenaar Arrangement und dem CCRA deuten darauf hin, dass ein internationaler Konsens über den richtigen Umgang mit Cybersicherheitsfragen schwer zu erreichen ist. Hinzu kommt, dass die Erweiterung dieser Mechanismen auf eine breitere Mitgliederzahl und die Erweiterung ihrer Gültigkeit auf eine größere Zahl von Ländern mit erheblichen Herausforderungen verbunden sein dürften.

Abschließend lässt sich sagen, dass internationale Standards und Exportkontrollen im Bereich der Cybersicherheit nur dann effektiv sein können, wenn sie auf einem fundierten internationalen Dialog basieren, der nicht nur die staatlichen Interessen berücksichtigt, sondern auch die Bedenken der Zivilgesellschaft und der wissenschaftlichen Gemeinschaft in den Mittelpunkt stellt. Der Weg zu einer globalen Lösung wird durch das Spannungsfeld zwischen nationalen Interessen, wirtschaftlichen Zielen und sicherheitspolitischen Erwägungen jedoch weiterhin schwierig bleiben.

Die Rolle von Normen in der internationalen Sicherheit und Cybersicherheit

Die Verbreitung und Abhängigkeit von Informations- und Kommunikationstechnologien (IKT) ist keine Naturkatastrophe, sondern das Resultat politischer Entscheidungen und gezielter Handlungen. Diese Erkenntnis eröffnet wichtige Perspektiven für die zukünftige normative Betrachtung von IKT und Cybersicherheit auf internationaler Ebene. Es ist von entscheidender Bedeutung, dass diese Technologieabhängigkeit als ein Produkt politischer Prozesse und nicht als unvermeidliche Gegebenheit verstanden wird. Diese Sichtweise muss den normativen und ethischen Diskurs über die Verantwortung von Staaten und internationalen Akteuren prägen.

In einer zunehmend vernetzten Welt, in der Cyberangriffe als „neue Normalität“ gelten, muss auch die Diskussion über Cybersicherheit normalisiert werden. Dies bedeutet, dass der Umgang mit Cybersicherheit von seiner momentanen, futuristischen und oft spekulativen Perspektive in den Alltag integriert werden muss. Die Vorstellungen über IKT und ihre Nutzung sollten nicht mehr als eine exklusive und spezialisierte Domäne betrachtet werden, sondern als ein integraler Bestandteil unserer globalen Sicherheitsarchitektur. Eine Normierung von Cyberangelegenheiten bedeutet nicht nur eine Anpassung der Technologie, sondern auch eine tiefgreifende Änderung in der Art und Weise, wie wir über diese Technologien und ihre Auswirkungen auf die internationale Sicherheit nachdenken.

Die Spannungen zwischen den „Cyber-Supermächten“ der Welt – den Vereinigten Staaten, China und Russland – zeigen die tiefgreifenden Differenzen auf, die den globalen Diskurs über Cybersicherheit und internationale Normen prägen. Diese Länder unterscheiden sich erheblich in ihrer Haltung zu den Tempo und Zielen der Nutzung von IKT. In vielen Fällen führen diese Differenzen zu Konflikten zwischen den Verpflichtungen von Staaten auf internationaler Ebene und den nationalen Souveränitätsansprüchen, die die jeweilige Regierung geltend macht. Darüber hinaus sind auch die freien Flüsse von Informationen sowie deren Regulierung innerhalb nationaler Grenzen Themen, die in der internationalen Diskussion oft im Widerspruch zueinanderstehen.

Solche Differenzen, die in rechtlichen und politischen Bereichen zwischen nationalem und internationalem Recht sowie zwischen verschiedenen nationalen Politiken bestehen, bieten potenzielle Angriffsflächen für feindliche Akteure. Doch selbst in der Abwesenheit eines „echten“ Konsenses über diese Fragen gibt es Möglichkeiten, den Dialog und die Zusammenarbeit voranzutreiben. Es ist zu erwarten, dass Staaten die Normen unterstützen werden, die sie in ihren nationalen Strategien und Gesetzen gefördert haben. Die existierenden Normen und Regimes zur Cybersicherheit – zum Beispiel in den Bereichen Datenschutz, Informationszugang und der Bekämpfung des terroristischen und kriminellen Einsatzes von IKT – bieten wertvolle Hinweise und Leitlinien für Staaten und nichtstaatliche Akteure, die ihre eigenen Strategien auf dieser Grundlage weiterentwickeln möchten.

Das internationale Umfeld für Cybersicherheit und Normen befindet sich noch immer in einem Entwicklungsstadium. Viele Länder haben bereits begonnene Prozesse wie die Arbeiten der „Gruppe der Regierungsexperten“ (GGE) auf die Agenda gesetzt. Doch selbst wenn diese Prozesse in der Praxis oftmals fragil erscheinen, gibt es etablierte und funktionierende Normen, die auf eine verantwortungsvolle Handhabung von Cyberoperationen hinweisen. Auch wenn der globale Konsens nicht vollständig hergestellt werden kann, sollten Staaten sich darauf konzentrieren, solche bestehenden Normen weiter umzusetzen und zu verbreiten. Dies würde nicht nur das Vertrauen in internationale Regulierungsmechanismen stärken, sondern auch den internationalen Dialog über den Umgang mit Cybersicherheit und -angriffen weiter voranbringen.

In den kommenden internationalen Gesprächen über Normen der verantwortungsvollen Nutzung von Cybersicherheit wird es daher hilfreich sein, sich auf spezifische, abgegrenzte Themenfelder zu konzentrieren, in denen bereits Übereinstimmungen erzielt wurden. Solche Kompartimentierungen könnten es ermöglichen, dass sich Konsens herausbildet und zwischen politisch verbündeten oder nicht verbündeten Ländern weiter vertieft wird. Ein solches Vorgehen fördert das Verständnis und die Anwendung von Normen, ohne dass man ständig grundlegende normative Instrumente und Konzepte, die seit Jahrzehnten gut etabliert sind, erneut zur Debatte stellt.

Die Normen, die zur Cybersicherheit entwickelt wurden – insbesondere im Bereich der Daten- und Informationssicherheit sowie in der Verhinderung des Missbrauchs von IKT – sind nach wie vor von höchster Bedeutung. Sie bilden den Kern eines globalen Rahmens für den Umgang mit den Risiken, die durch die zunehmende Vernetzung von Staaten und Akteuren entstehen. Auch die rechtlichen und politischen Herausforderungen, die sich im Hinblick auf das internationale Cybersicherheitsrecht stellen, können nur in einem stabilen normativen Rahmen sinnvoll adressiert werden.