Hackback per Vertrag: USA lassen Firmen Cyberangriffe fahren
Trumps Memorandum lässt geprüfte US-Firmen offensive Cyberoperationen gegen ausländische Kriminelle fahren — unter Regierungskontrolle. Ein klassischer Hackback ist es ausdrücklich nicht.
Eine Million Dollar Bürgschaft, hinterlegt beim US-Justiz- oder Heimatschutzministerium, verfallen bei Vertragsbruch: Das ist die Eintrittskarte, mit der private Sicherheitsfirmen künftig im Auftrag Washingtons in fremde Netze eindringen dürfen. Das zugehörige Memorandum trägt das Datum 12. August. In den Schlagzeilen steht seither das Wort Hackback — und genau das trifft die Sache nicht. Was das Memorandum tatsächlich anordnetDasNational Security Presidential Memorandumbeauftragt das National Coordination Center, ein Programm aufzusetzen, in dem geprüfte US-Unternehmen sogenannte Cyber Surveillance Operations und Cyber Effects Operations gegen ausländische kriminelle Organisationen fahren. Geleitet wird es von zwei Executive Directors, je einer aus Justiz- und Heimatschutzministerium. Wer mitmachen will, durchläuft eine technische, sicherheitsbezogene und personelle Prüfung und schließt anschließend einen Vertrag mit einem der beiden Häuser. Im Visier stehen Ransomware-Banden, Phishing-Kampagnen, Anlagebetrug, Sextortion und KI-gestützte Identitätstäuschung; das Weiße Haus beziffert die 2025 in den USA gemeldeten Schäden durch solche Taten auf mehr als 20,8 Milliarden Dollar. Die Grenzen stehen im Dokument selbst, und sie sind konkreter, als die Aufregung vermuten lässt. Ausgeschlossen sind Operationen mit „Critical Outcomes“ — Handlungen, die wahrscheinlich Tod oder schwere Verletzungen verursachen oder völkerrechtlich die Schwelle zur Gewaltanwendung erreichen. Richtet sich eine Aktivität gegen eine US-Person, muss vorab die nötige, gegebenenfalls richterliche Genehmigung vorliegen. Trifft eine Firma unbeabsichtigt US-Bürger oder Systeme in den USA, muss sie abbrechen und das Koordinationszentrum sofort informieren. Operativ existiert das Programm allerdings noch gar nicht: Die Verfahrensregeln sollen erst binnen 60 Tagen stehen. Warum der Begriff Hackback hier in die Irre führtHackback meint in der Fachdebatte, dass ein Angegriffener auf eigene Faust zurückschlägt — ohne staatliche Anordnung, mit allen Zurechnungsproblemen, die daran hängen. Das Memorandum regelt etwas anderes: Auftragsarbeit unter Weisung, Kontrolle und Autorität der Regierung, jedes Operationspaket vorab schriftlich genehmigt, das Computer-Fraud-and-Abuse-Gesetz bleibt der Rahmen. TechCrunchhält in derselben Meldung, die private Cyberangriffe in der Überschrift trägt, ausdrücklich fest, dass private Hackbacks eben nicht autorisiert werden. Der Widerspruch steckt in der Berichterstattung, nicht im Dokument. Ein Bruch mit jahrzehntelanger US-Linie bleibt es trotzdem. Veracode-Mitgründer Chris Wysopal nennt es gegenüberBleepingComputer„a pretty big shift in US cyber policy“; Jason Kikta, früher bei der Cyber National Mission Force, sieht darin eine Maschine, die sich ihre eigenen abrechenbaren Bedrohungen erzeugt. Der schwerwiegendste Einwand kommt von Jake Williams, der gegenüber TechCrunch warnt, beteiligte Amerikaner könnten auf Auslandsreisen als nicht-uniformierte Kombattanten eingestuft werden. Mich stört an der Konstruktion etwas anderes, und das ist die Zurechnung. Wenn im Tagesgeschäft ein Server auffällig Traffic zieht, lautet die ehrliche Antwort auf die Frage, wer dahintersteckt, in den allermeisten Fällen: Das wissen wir nicht sicher. Genau diese Unschärfe soll nun die Grundlage von Operationen sein, die fremde Daten und Systeme zerstören dürfen — und die Haftung dafür ist mit einer Bürgschaft von einer Million Dollar bemessen. Für ein mittelgroßes Sicherheitsunternehmen ist das eine Position im Budget, keine Abschreckung. In Deutschland ist die Vorfrage noch offenDer Abstand zur deutschen Debatte könnte kaum größer sein. Hier liegt seit Juni einRegierungsentwurf zur Stärkung der Cybersicherheitim Bundestag, der BKA und Bundespolizei erlauben soll, Angreifer-Infrastruktur aktiv abzuschalten. Ob der Bund dafür überhaupt zuständig ist oder erst das Grundgesetz geändert werden muss, ist ungeklärt — das Innenministerium hält eine Änderung nicht für nötig, Fachjuristen widersprechen. Wie eng der Korridor ist, hat erst gestern dieGeheimdienstreform im Kabinettgezeigt, aus der die BSI-Pflicht zur Zulieferung von Zero-Days kurz vor der Sitzung wieder herausflog. Während in Berlin also noch verhandelt wird, ob eine Bundesbehörde zurückschlagen darf, vergibt Washington die Aufgabe an Vertragsfirmen. Von privaten Auftragnehmern ist in keinem deutschen Entwurf die Rede, und dabei sollte es bleiben. Interessanter als die Befugnis selbst wird ohnehin, was in den kommenden 60 Tagen in den Verfahrensregeln landet: Wer haftet, wenn eine genehmigte Operation den falschen Server erwischt, und wer erfährt überhaupt davon. Das Memorandum lässt beides offen.