Das Weiße Haus hat ein präsidentielles Memorandum veröffentlicht, das eine rechtliche Grundlage dafür schafft, private Unternehmen im Bereich der Cybersicherheit für offensive Operationen gegen ausländische kriminelle Gruppierungen heranzuziehen. Die Operationen werden auf Basis staatlicher Verträge unter Aufsicht des Justizministeriums und des Heimatschutzministeriums durchgeführt, wobei Ziele und Methoden der Einflussnahme zwingend abzustimmen sind. Die Initiative betrifft sowohl die US-Informationssicherheitsbranche, die damit eine grundsätzlich neue Klasse staatlicher Aufträge erhält, als auch die internationale kiberkriminelle Szene, gegen die erstmals Ressourcen des privaten Sektors mit offizieller staatlicher Sanktion gerichtet werden können.
Zentrale Parameter des Programms
Dem Memorandum zufolge wird das National Coordination Center (NCC) die Ausarbeitung des Programms übernehmen, und die Regeln für die Durchführung der Operationen sollen innerhalb von 60 Tagen vorgelegt werden. Das Programm sieht zwei Arten von Maßnahmen vor: verdeckte Aufklärung innerhalb der Infrastruktur ausländischer Krimineller und sogenannte Cyber Effects Operations – Eingriffe in den Betrieb von Systemen, Störung oder Blockierung ihrer Funktionsfähigkeit sowie die Zerstörung von Daten und Infrastruktur.
Laut einem Informationsblatt des Weißen Hauses können sich die Operationen gegen Gruppierungen richten, die sich mit Folgendem beschäftigen:
- Erpressung mithilfe von Ransomware;
- Phishing und Finanzbetrug;
- Betrugsschemata mit Identitätsmissbrauch;
- sexuelle Erpressung (sextortion).
Als Begründung für die Einrichtung des Programms werden die Verluste amerikanischer Nutzer durch Cyberkriminalität angeführt, die nach Angaben des Weißen Hauses allein im Jahr 2025 20,8 Mrd. US‑Dollar überschritten haben.
Kontrollmechanismen und Beschränkungen
Das Memorandum etabliert ein mehrstufiges System von Beschränkungen. An dem Programm können nur Unternehmen teilnehmen, die eine spezielle Prüfung nach vier Kriterien durchlaufen haben: technische Fähigkeiten, Erfahrung in der Durchführung von Cyberoperationen, Sicherheit der eigenen Infrastruktur und Zuverlässigkeit des Personals. Die Erfüllung dieser Anforderungen muss jährlich bestätigt werden.
Die finanziellen Sicherheiten umfassen eine verpflichtende Kaution oder ein Escrow in Höhe von mindestens 1 Mio. US‑Dollar für jedes Auftragnehmerunternehmen. Diese Mittel können bei Verstößen gegen die Vertragsbedingungen eingezogen werden.
Die operativen Beschränkungen umfassen mehrere grundlegende Verbote:
- verboten sind Angriffe auf Organisationen, die Teil der Strukturen ausländischer Staaten sind oder vollständig von diesen kontrolliert werden;
- verboten sind Operationen, die zum Tod oder zu schweren Verletzungen von Menschen führen können;
- verboten sind Handlungen, die das Völkerrecht als Anwendung von Gewalt oder als bewaffneten Angriff einstufen könnte;
- kommt es zu einer unbeabsichtigten Beeinträchtigung von Bürgern der USA oder amerikanischen Systemen, ist der Auftragnehmer verpflichtet, die Operation unverzüglich zu stoppen und das NCC zu benachrichtigen.
Rechtliche Unsicherheit
Die juristische Grundlage der Initiative bleibt umstritten. Zuvor war es amerikanischen Unternehmen untersagt, eigenständig Gegenangriffe im Cyberraum (sogenannte Hack‑Back‑Operationen) ohne gerichtliche Genehmigung durchzuführen. Nach Ansicht von Juristen, auf die sich das Ausgangsmaterial beruft, könnten für den vollumfänglichen Betrieb des Programms Änderungen der Gesetzgebung erforderlich sein. Zugleich wird darauf hingewiesen, dass der Computer Fraud and Abuse Act (CFAA) eine Ausnahme für vom Staat sanktionierte Ermittlungen sowie Schutz- und Aufklärungsoperationen enthält – und dass diese Ausnahme potenziell auf private Auftragnehmer ausgeweitet werden könnte, die auf direkte Anweisung der Behörden handeln. Diese Auslegung ist bislang jedoch weder durch Präzedenzfälle noch durch ein offizielles Rechtsgutachten untermauert.
Reaktion der Branche und strategische Folgen
Der Mitgründer von Veracode, Chris Wysopal, hat das Memorandum als tiefgreifende Änderung der US-Cyberpolitik und als deutliche Ausweitung der Rolle des privaten Sektors bei offensiven Operationen bezeichnet.
Der Sicherheitsforscher Kevin Beaumont hat eingestanden, dass die Idee, die Infrastruktur von Erpressergruppen anzugreifen, sinnvoll ist, zugleich jedoch Zweifel geäußert an der Interessiertheit der Sicherheitsunternehmen selbst: Viele von ihnen verdienen seit Jahren gerade an der Abwehr jener Bedrohungen, die nun mit offensiven Methoden beseitigt werden sollen. Dieser Interessenkonflikt ist eines der zentralen Probleme, die bei der Bildung eines Pools von Auftragnehmern gelöst werden müssen.
Strategisch schafft das Memorandum eine neue Klasse von Beziehungen zwischen Staat und Privatwirtschaft im Cyberraum. Bislang waren offensive Cyberoperationen ausschließlich Militär und Geheimdiensten vorbehalten. Die Einbindung kommerzieller Unternehmen erweitert zwar potenziell die operativen Möglichkeiten, bringt aber zugleich Risiken mit sich: von der Abwanderung offensiver Werkzeuge bis hin zur Eskalation von Konflikten mit Staaten, in deren Jurisdiktion die kriminellen Gruppierungen agieren. Das Verbot von Angriffen auf staatliche Strukturen soll dieses Risiko minimieren, doch in der Praxis ist die Grenze zwischen „staatlicher“ und „nichtstaatlicher“ Cyberkriminalität häufig unscharf.
Unternehmen, die im Bereich Cybersicherheit auf dem amerikanischen Markt tätig sind, sollten die Veröffentlichung der Regeln für die Durchführung der Operationen – sie sollen innerhalb von 60 Tagen erscheinen – genau verfolgen und prüfen, ob ihre technischen Fähigkeiten und ihre organisatorische Struktur die Zugangskriterien des Programms erfüllen. Für Organisationen außerhalb der USA, insbesondere für solche, deren Infrastruktur sich mit der von kriminellen Gruppierungen überschneiden könnte, ist dies ein Signal, die Segmentierung ihrer Netze zu verstärken und die Legitimität ihrer eigenen Operationen zu dokumentieren – um nicht versehentlich ins Visier der Auftragnehmer zu geraten.
