Thread by @CyberPeace1

Update zu militär. Cyber-Operationen in DE. Die BReg hat auf eine kleine Anfrage der FDP-Fraktion ein paar interessante Details zur Rolle des #BND bei Cyber-Operationen preisgegeben. Leider wieder sehr viele Verschlusssachen, trotzdem hier ein Thread mit den Highlights: /1

Lt. BReg darf die BW Cyberops nur zur „Wahrnehmung des Verfassungsauftrags der Streitkräfte zur Verteidigung (..) bzw. im Rahmen eines Systems gegenseitiger kollektiver Sicherheit“ durchführen. Soweit nichts Neues. /2

Für diese Fälle sieht die BReg keine Regelungslücken und verweist auf das internationale humanitäre Recht, dass natürlich auch im Cyberspace gilt (oder gelten sollte). Gleichzeitig ist die Erstellung eines Cyber-Lagebildes für diese Aufgabenwahrnehmung entscheidend. /3

Daraus folgt, dass die BW die notwendige Aufklärung in Friedenszeiten nicht vornehmen darf. Der BND hingegen schon und der darf diese Informationen lt. BReg auch teilen „wenn der Empfänger die Daten für erhebliche Zwecke der öffentlichen Sicherheit benötigt“. /4

Aber:
- Gilt das auch wenn ein solcher Austausch verstetigte Formen annimmt, der nötig wäre um ein aktuelles Lagebild zu erhalten?
- Darf die BW auch „Zielvorgaben“ für die Aktivitäten des BND geben?
- Welche operativen Konsequenzen hat das für den „Dienstleister BND“? /5

- Wie soll dabei ein parlament. Kontrolle noch möglich sein oder gar Transparenz der BW-Aktivitäten (selbst wenn sie indirekt passieren) gegenüber der Öffentlichkeit?
- Wenn die Aufklärung in Friedenszeiten passiert, wie kann das Parlament dann konkrete Grenzen setzen? /6

Die Aktivitäten des BND selbst sieht die BReg dabei nicht im Konflikt mit dem internat. Interventionsverbot, solang dies nicht mit einer „Zwangsausübung einhergeht, die in Umfang und Wirkung herkömmlichen, also nicht cyber- bezogenen Zwangsmaßnahmen vergleichbar ist.“ /7

Aber:
- Wenn für Aufklärung fast notwendigerweise (a) Systeme gehackt werden müssen und (b) darunter auch vorgelagerte zivile System fallen sowie (c) durchaus KRITIS wie ITK-Systeme oder Stromversorgen militär. relevante Systeme sind ... /8

... wie soll dann die Abgrenzung zur Ausübung von Zwang umgesetzt werden? Von der Gefährdung der Systeme durch die Maßnahmen (die auch eintreten wenn man „nur“ Spionage betreibt) ganz abgesehen /9

Parallel dazu betont die Antwort, dass für mil. CyberOps humanitäre Völkerrecht wie „das Unterscheidungsgebot, das Ver- bot exzessiver ziviler Begleitschäden und das Gebot, Vorsichtsmaßnahmen zum Schutz der Zivilbevölkerung bei der Planung eines Angriffs zu ergreifen“ gelten. /10

Irgendwie will das mMn einfach nicht zusammen passen. Vielleicht bringt die erneut erwähnte in Arbeit befindliche „Aktualisierung der Cyber-Sicherheitsstrategie 2016“ und die „Aktualisierung der Strategischen Leitlinie Cyber-Verteidigung“ hier endlich Klarheit (irgendwann) /11

Davon abgesehen werden Angaben zu „staatlichen oder staatsnahen Cyber-Operationen gegen die Bun- desrepublik Deutschland und/oder ihrer Bündnispartner“ abgelehnt, weil man die von @perceptic0n vorgeschlagene Systematik nicht verwendet. /12

Angaben zu Umfang und Partner von Cyber-Übungen (!) sind übrigens VS-GEHEIM wegen Gründen. Tolle Transparenz und super für offen geführte Debatten, zu denen sich die BReg in der Vorbemerkung noch selber lobt. Echt schade /13

Ansonsten wird noch festgehalten das für Akteure aus RU und CN in der „Zukunft eine Gefahr einer (..) strategischen Informationsbeeinflussung“ gesehen wird und es gibt ein paar nette Details dazu, wie die IT-Sec von Waffensystemen geprüft wird. /14

Soweit zur Analyse. Retweets wären toll und Kommentare sind natürlich gern gesehen. Besten Dank im Voraus und ein schönes Wochenende allen!
Quelle der BReg-Antwort: dip21.bundestag.de/dip21/btd/19/2…
Eine ausführlichere schriftliche Form zu dieser Kurz-Analyse wird nachgereicht.

CC: @meier_oliver, @juschuetze, @thomas_wiegold, @drfranksauer, @CarloMasala1, @NiklasSchoernig, @HonkHase, @z_edian, @perceptic0n, @DrUlrichKuehn, @Konflikt_Sicher, @JoernPL, @twetzling, @alexmuellerfdp, @Lambsdorff, @anked, @frank_rieger, @cdr2012neu