Europas dritter Weg im Cyberraum

Wertekonflikt

Die Hoffnung, dass das Internet überall Freiheit und Menschenrechte befördert, ist spätestens seit den Enthüllungen Edward Snowdens und der Nutzung digitaler Tech­nologien für staatliche Überwachung nur noch bedingt realistisch. Es ist evident, dass das Internet heute ein Raum ist, in dem Verteilungs- und Wertekonflikte ausgetragen und die zukünftigen Modalitäten der individuellen und gesellschaftlichen Selbst­bestimmung ausgehandelt werden. Die Technologie des Netzes und die dazugehörigen Anwendungen sind keine wertneutralen Instrumente, sondern sie normieren Entscheidungen und Handlungsweisen. Sie sind Instrumente wertebezogener Politik, wie der Streit um den chinesischen Techno­logie­konzern Huawei zeigt. In der US-Admi­nistration wird Huawei nicht nur als Markt­teilnehmer, sondern zugleich als trojanisches Pferd einer nicht wohlgesonnenen Regierung wahrgenommen. Peking ver­wahrt sich gegen diese Vorwürfe und be­trachtet den Aus­schluss des Konzerns vom US-Markt als eine Maßnahme, die gegen Chinas Position auf dem Weltmarkt ins­gesamt gerichtet ist.

Der Konflikt um Huawei markiert einen Bruch mit der rein marktwirtschaftlichen Logik globaler Handelsbeziehungen und forciert einen wachsenden digitalen Mer­kantilismus. Viele sehen in dem Zusammenwachsen der Märkte heute nicht mehr nur eine Chance für Wohlstandsverbes­se­rung, sondern eine Gefahr für Selbstbestim­mung und öffentliche Sicherheit. Sie argu­mentieren, dass die digitalen Produkte ge­eignet seien, Werteordnungen auszuhöhlen und die staatliche Gestaltungs- und Steue­rungskompetenz durch technische Hinter­türen zu unterlaufen. Begriffe wie »techno­logische Souveränität« und »ökonomische Verwundbarkeit« sind ein Indikator für die wachsende Bereitschaft, Innovation und Wettbewerb in Bezug auf digitale Produkte und Dienste einzuschränken. Die neue Kon­flikthaftigkeit in der digitalen Welt ist aller­dings nicht auf das Verhältnis zwischen dem Westen und China beschränkt. Auch in den transatlantischen Beziehungen pral­len heute Wert­vorstellungen aufeinander, die schwer miteinander vereinbar sind. Die vielbeschwo­rene transatlantische Wertegemeinschaft stößt dort an ihre Grenzen, wo die Idee des freien (digitalen) Binnenmarkts mit dem Gebot des Schutzes persön­licher Daten und der informationellen Selbstbestimmung und mit dem europäischen Wettbewerbsrecht kollidiert. Die von der Politik lange igno­rierte Dominanz der US-Internetkonzerne zwingt Europa zu einem Kurs der digitalen Selbst­behauptung – vom Datenschutz über das Wettbewerbsrecht bis zur Besteuerung.

Cybersicherheitskonflikt

Cyberangriffe und ihre Abwehr sind eine gravierende Herausforderung für die inter­nationale Kooperation. Während die Kom­plexität und die Interdependenz von digi­talen Systemen schnell zunehmen, bleibt die Qualität der hierfür verwendeten Hard­ware und Software mangelhaft und fehlen die nötigen personellen Kapazitäten zu deren Absicherung. Permanent entstehen im Cyberraum neue Angriffsvektoren und ‑ziele. Die kriminelle Nutzung von Schwachstellen, zum Beispiel der Einsatz von Ransomware zur Erpressung von Unter­nehmen, und staatliche Cyberattacken, die der Aufklärung oder Destabilisierung dienen sollen oder Teil der hybriden Kriegs­führung sind, verstärken sich gegenseitig negativ. Extremstes Beispiel ist Nordkorea, das mit globalen Cyberoperationen Ein­nah­men zur Beschaffung von Raketentechnologie gene­riert. Zwar hat eine Gruppe von Regierungsexperten (GGE) auf VN-Ebene in fünf Ver­handlungsrunden über die inter­nationale Ächtung bzw. Beschränkung von Cyberangriffen und über die Einrichtung einer völkerrechtlich verankerten Organisation zur Cyberabwehr debattiert – aber erfolglos. Auch von der aktuellen sechsten Runde der GGE sind kurzfristig keine Fort­schritte zu erwarten, genauso wenig wie von den Verhandlungen, die parallel auf Initiative Russlands in einer Open Ended Working Group (OEWG) geführt werden.

Handelskonflikt

Der Handelskonflikt zwischen den USA und China speist sich wesentlich aus der Ent­wicklung der Märkte hin zu einer stärkeren Bedeutung digitaler Produkte und Dienste. Die digitale Transformation der globalen Märkte geht nicht nur mit einer wachsenden ökonomischen Interdependenz einher, sie hat gleichzeitig auch die Steue­rungs­fähig­keit der Staaten zunehmend reduziert. Wenn US-Präsident Trump Han­dels­beschrän­kungen anordnet, so ist dies auch Ausdruck eines Versuchs, die Kontrolle über die Auswirkungen eines von Innovationen befeuerten weltweiten Wettbewerbs auf die USA zurückzugewinnen. Gleich­zeitig sind die Produkte und Dienste der amerikanischen Tech-Unternehmen für Washington ein wesentliches Instrument der staatlichen Kontrolle und der internationalen Einflussnahme. Die Diskussion über die Produkte von Huawei hat aber einen Aspekt, der weit darüber hinausweist: Komplexe digitale Systeme wie die Netzwerktechnik für 5G könnten sich als kaum kontrollierbare Technologie erweisen, die für Jahrzehnte in den Infrastrukturen eines Staates verbaut ist und letztlich der Steuerung durch einen autoritären Staat unterliegt. Netzwerk­produkte entwickeln sich derzeit zu einer im Wesentlichen auf Software gestützten Technologie weiter. Die dafür er­forder­lichen regelmäßigen Updates bringen für den einsetzenden Betreiber kaum nach­vollziehbare Neuerungen in der Funktio­nalität mit sich. Gleichzeitig verändert die digitale Transformation alle Marktsegmente, von landwirtschaftlichen Produkten über die Medizintechnik bis zum Maschinen­bau. Handelsfragen werden immer stärker verschränkt mit dem Ringen um digitale Kontrollfähigkeit.

Datenschutz und Datensicherheit als EU-Interesse

Der spezifisch europäische Zugriff beim Thema Digitalisierung kommt gerade in den Rechtsakten der EU zum Datenschutz und zur Datensicherheit zum Ausdruck. Die Datenschutz-Grundverordnung, die seit Mai 2018 bereits von allen Unternehmen anzuwenden ist, setzte neue Maßstäbe bei der Aufgabe, eine Balance zwischen dem Schutz personenbezogener Daten und der Gestaltung eines freien Datenverkehrs im Binnenmarkt zu finden. Datenschutz und Cybersicherheit wurden bislang getrennt betrachtet. Tatsächlich wachsen beide Mate­rien zunehmend zusammen. Dies zeigt sich beispielsweise bei den digitalen Strom­zäh­lern (SmartMeter). An deren Betrieb müssen nicht nur hohe Sicherheits-, sondern auch höchste Datenschutzanforderungen gestellt werden, damit die Nutzer nicht in ihren häuslichen Gewohnheiten ausgeforscht werden können. Indem sie ein umfassendes System der Definition und Zertifizierung technischer Cybersicherheit etabliert, unter­nimmt die EU einen großen Schritt, um ihre Rolle als Regulierungsmacht, die sie mit der DSGVO erfolgreich ausgefüllt hat, in der Aus­gestaltung des digitalen Raums weiter zu festigen.

Cybersicherheitsverordnung

Am 10. Dezember 2018 haben sich das Europäische Parlament, der Europäische Rat und die Europäische Kommission poli­tisch über einen Rechtsakt zur Cybersicherheit geeinigt. Die Verordnung über die EU-Cybersicherheitsagentur (ENISA) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik (»Rechtsakt zur Cybersicherheit«) wurde im Juni 2019 verkündet. Der Rechtsakt beinhal­tet zwei wesentliche Reformen: Die EU-Cybersicherheitsagentur (Agentur der Euro­päischen Union für Netz- und Informations­sicherheit, ENISA) erhält ein über das Jahr 2020 hinaus geltendes Mandat, um die Mit­gliedstaaten im Umgang mit Cyberangriffen unterstützen zu können. Es wird eine Cyber­sicherheitszertifizierung von Produkten, Verfahren und Diensten eingeführt (euro­päischer Zertifizierungsrahmen). Zertifizierung basiert auf der Idee, dass sich mit Standards und Normen ein Ausgleich schaf­fen lässt zwischen dem Gebot des Konsu­mentenschutzes und dem legitimen An­spruch der Industrie auf Wettbewerbsfähig­keit. Beides sind hohe Prinzipien, die mit­einander vereinbart werden müssen. Kon­sumentenschutz bedeutet, dass Ver­brau­cher vor negativen Konsequenzen wie einer nicht-autorisierten Weitergabe und Ver­wendung ihrer Daten bewahrt und ihnen generell verlässliche und qualitativ hoch­wertige Produkte zur Verfügung ge­stellt werden müssen. Diese Ziele können unter Umständen allerdings mit Fragen der Kon­kurrenzfähigkeit von Produktanbietern konfligieren. Zum Beispiel betrachten Unternehmen hohe Standards im Datenschutz und in der Datensicherheit häufig als Hürde im Wettbewerb.

Die Cybersicherheitsverordnung sieht eine sogenannte freiwillige »Konformitätsbewertung« für Produkte der Informations- und Kom­munikationstechnik (IKT) vor, also einen EU-weit geltenden europäischen Zer­tifizierungsrahmen für die Cybersicherheit von Produkten, Diensten und Verfahren. Das Prozedere der Festlegung von Mindeststandards und von deren Überprüfung ist bereits aus den Regulierungen zur all­gemei­nen Produktsicherheit bekannt. Die Verord­nung richtet sich insoweit auf die Harmonisierung von Sicherheitsstandards. Die Ein­haltung der festgelegten Cybersicherheits­merkmale von IKT-Produkten, ‑Diensten und ‑Prozessen soll durch die jeweils zu­stän­dige nationale Stelle überprüfbar sein. Voraussetzung für die positive Konformitätsbewertung einer Produktkategorie ist die Erfüllung entsprechen­der Prüfkriterien, von der Verordnung als »Schema für die Cybersicherheitszertifizierung« bezeichnet. Für welche Produkte solche Schemata er­stellt werden, legen Europäische Kommis­sion, Vertreter der Mitgliedstaaten und der Stakeholder gemeinsam fest. Die ENISA er­arbeitet die Entwürfe der Schemata. Natio­nale Schemata werden verdrängt, sobald für die Produktgruppen europäische Schemata verabschiedet wurden.

ENISA wird Sicherheitsstufen für IKT-Pro­dukte und ‑Dienste festlegen. Für die jewei­lige Cybersicherheitszertifizierung wird das einzelne IKT-Produkt bzw. der IKT-Dienst einer dieser Sicherheitsstufen zugeordnet. Künftig sollen drei Sicherheitsstufen An­wendung finden, »niedrig«, »mittel« und »hoch«, je nachdem, wie resilient die Pro­dukte und Dienste gegen Cyberangriffe sind und welcher Grad an Vertrauenswürdigkeit mit ihnen verknüpft werden kann. Die Ent­scheidung zur Zertifizierung eines Produkts nach einem vorhandenen Schema ist für den Hersteller freiwillig. Die Zertifizierung kann, je nach angestrebter Sicherheitsstufe, durch Herstellererklärungen oder durch un­abhängige Konformitätsbewertungsstellen erfolgen. Das Vertrauen in IKT-Produkte von Unternehmen soll im Rahmen der Zer­tifizierung durch diverse Maßnahmen ge­festigt wer­den. So müssen Hersteller:

• für ihre Produkte sichere Voreinstellungen wählen;

• den Endnutzern Hilfsmittel für einen sicheren Einsatz des Produkts bereit­stellen;

• Sicherheitslücken bekanntmachen;

• Endkunden informieren, wenn die Unter­stützung bzw. der Support für die individuell erteilte Sicherheitsgarantie endet.

Die ENISA wird schließlich Checklisten führen und öffentlich zur Verfügung stel­len, um das Cyberrisiko des jeweiligen IKT-Produkts und -Dienstes vorab einzuschätzen. Sie soll ferner eine Liste von IKT-Pro­dukten und ‑Diensten führen und fortwährend aktualisieren, für die sie eine Cyber­sicherheitszertifizierung für notwendig erachtet (Priority-List).

Allein schon wegen der Größe des europäischen Marktes wird das europäische Cybersicherheitszertifikat eine globale Rele­vanz erhalten. Zudem sorgen zwei ergän­zende Mechanismen für eine schnel­lere Verbreitung der Zertifikate nach der Cyber­sicherheitsverordnung: In ihrer IT-Sicher­heitsgesetzgebung für kritische Infrastrukturen und digitale Dienste (NIS-Richtlinie) fordert die EU von den Betreibern entsprechender Dienste, dass sie IT-Sicherheits­maßnahmen »nach dem Stand der Technik« ergreifen. Dem Betreiber selbst obliegt es, diese unbestimmte rechtliche Vorgabe zu erfüllen. Die Nutzung von zertifizierten Produkten wird es ihm erleichtern nach­zuweisen, dass er sich am Stand der Technik orientiert hat. Zudem schränkt die Verord­nung die Freiwilligkeit der Zertifizierung durch den ausdrücklichen Hinweis ein, dass das EU-Recht an anderer Stelle, zum Bei­spiel sektoral, eine Zertifizierung fordern wird. Es ist anzunehmen, dass Kommission und Parlament von dieser Einladung Gebrauch machen werden, um die Konformität neuer technischer Anwen­dungen mit den Cyber­sicherheitsanforderungen sicherzustellen.

Wie effektiv die neue europäische Cybersicherheitszertifizierung ist, wird maßgeblich davon abhängen, wie die EU bei der Erarbeitung der Schemata vorgeht. Manche Äußerungen der Kommission lassen darauf schließen, dass sie eine Priorität bei ver­netzten Gegenständen (Internet of Things, IoT) im Verbrauchermarkt sieht. An anderer Stelle plädiert sie für einen Start der Zerti­fizierung im Bereich industrieller Anwendungen. Bereits beste­hende Zertifizierungsschemata im Hoch­sicherheitsbereich, die vor allem für staat­liche Anwendungen genutzt werden, sollen in das europäische System überführt werden.

Auch die nationale Gesetzgebung in Deutschland wird die Zertifizierung voraus­sichtlich ausweiten. Die Entwürfe für ein IT-Sicherheitsgesetz 2.0 enthalten zum Bei­spiel eine neue System-Kategorie »KRITIS-Kernkomponenten«. Gemeint sind IT-Syste­me, die für das Funktionieren einer kriti­schen Infrastruktur von besonderer Bedeu­tung sind. Für sie soll Zertifizierung obliga­torisch werden können. Die Bundesnetz­agentur will gemeinsam mit dem Bundes­amt für Sicherheit in der Informationstech­nik (BSI) ersten Gebrauch von den neuen Bestimmungen machen und – gemäß dem unlängst vorgestellten Sicherheitskatalog – die Zertifizierung von Kernkomponenten der Telekommunikationsnetze anordnen. Dieser Schritt ist eine direkte Folge der Debatte über die zweifelhafte Vertrauens­würdigkeit von Huawei-Produkten für 5G-Netze.

Wie könnte eine Strategie des Dritten Weges gestaltet sein?

Mit der Verschmelzung der digitalen Märkte entwickeln sich global verschiedene Typen von regulatorischen Ordnungsmodellen. Das chinesische Vorbild, dem in ähnlicher Form Russland, der Iran und einige arabi­sche Staaten folgen, steht für ein Modell der autoritären Reglementierung des digitalen Raums, das mit dem Anspruch gleichwerti­ger Legitimität neben das Modell der libera­len und offenen Gesellschaft tritt. Bereits heute lassen sich in einigen Mitgliedstaaten der EU Versuche beobachten, illiberale Ent­wicklungswege einzuschlagen. Angesichts der oben beschriebenen Konflikte drängt sich auch im Hinblick auf den digitalen Raum die Frage auf, welcher Umgang mit anderen Weltregionen angemessen ist. Sollte Europa in diesem Bereich eine kon­sequen­te Politik der digitalen Souveränität ein­schlagen? Und sollte es in der Folge mit Hilfe nationaler Förderprogramme eigene 5G-Mobilfunkdatennetze entwickeln, ein eigenes Google, ein eigenes WhatsApp und so weiter? So über­zeugend eine solche Idee auf den ersten Blick zu sein scheint, so ris­kant könn­ten die langfristigen Konsequen­zen eines Autonomiestrebens sein – inno­va­tions­politisch wie sicherheitspolitisch.