Nieuwe dimensie van de cyberverdediging: BKA krijgt uitgebreide bevoegdheden
De Duitse veiligheidsarchitectuur staat voor een ingrijpende verandering: met de geplande wet ter versterking van de cyberbeveiliging moet het Bundeskriminalamt (BKA) voortaan het recht krijgen actief op te treden tegen infrastructuur van aanvallers. Bondsminister van Binnenlandse Zaken Alexander Dobrindt (CSU) noemde het voornemen een "mijlpaal voor de veiligheidsarchitectuur van Duitsland" en kondigde aan: "Wij slaan terug, wij schakelen de dreiging uit. Wanneer wij worden aangevallen, zullen wij de aanvallers kunnen verstoren en hun infrastructuur kunnen vernietigen."
Deze nieuwe vorm van "actieve cyberverdediging" markeert een paradigmawisseling in de Duitse cyberbeveiligingsstrategie. Terwijl tot nu toe vooral defensieve maatregelen op de voorgrond stonden, moet er nu preventief tegen potentiële dreigingen kunnen worden opgetreden.
Van passieve bescherming naar actieve verdediging
Tot dusver beperkte de Duitse cyberverdediging zich hoofdzakelijk tot reactieve maatregelen. "Tot nu toe hebben wij bij aanvallen gereageerd door te proberen ze om te leiden naar onschadelijke delen van het netwerk", lichtte minister Dobrindt de tot nu toe gevolgde werkwijze toe. Die methoden waren weliswaar doeltreffend, maar vormden het maximum van de tot nu toe mogelijke actieve afweermaatregelen.
In de toekomst moeten ook software en servers van aanvallers in het buitenland in het vizier kunnen worden genomen. Deze uitbreiding van de bevoegdheden wordt politiek onderbouwd met de veranderde veiligheidssituatie en de toegenomen urgentie in het cyberdomein.
Concrete inzetscenario's van de nieuwe bevoegdheden
Het BKA moet volgens de nieuwe regelingen het recht krijgen verschillende soorten infrastructuur van aanvallers te bestrijden:
- IoT-apparaten die voor cyberaanvallen worden misbruikt
- Servers die als commando- en controlecentra dienen
- Gekaapte cloudinstanties
- Command & Control-servers voor de coördinatie van DDoS-aanvallen
Doel is vroegtijdig te kunnen ingrijpen om aanvallen zoals DDoS-aanvallen van meet af aan te verhinderen, voordat zij schade kunnen aanrichten.
Afbakening ten opzichte van het omstreden hackback-concept
Minister Dobrindt benadrukte dat het bij de geplande maatregelen niet om hackback gaat. Een hackback is een "ongerichte vergeldingsslag", terwijl hier concrete gevarenafwending door het Bundeskriminalamt, de Bundespolizei en het Bundesamt für Sicherheit in der Informationstechnik op de voorgrond staat.
Ter verduidelijking trok de minister een vergelijking: "Wanneer van een onbeheerde koffer een gevaar uitgaat, dan treden wij daartegen op en zoeken wij niet eerst uit van wie die koffer is." Wie er precies achter een aanvallend systeem zit, is voor de gevarenafwending irrelevant. Belangrijk is alleen dat van de serverstructuur een concrete dreiging uitgaat.
Op grond van deze afbakening ziet de bondsregering geen noodzaak voor een wijziging van de grondwet. De geplande maatregelen moeten binnen het kader van de bestaande constitutionele mogelijkheden blijven.
Kritische stemmen uit het maatschappelijk middenveld
Ondanks de verzekeringen van de bondsregering zien critici in de regeling een problematische bevoegdheid tot hackback. Hun voornaamste zorg: bij professionele cyberaanvallen worden regelmatig apparaten van derden misbruikt, waardoor de maatregelen niet de eigenlijke daders, maar onbetrokken derden zouden kunnen treffen.
De geplande cyberbeveiligingsmaatregelen passen in een reeks wetsvoorstellen die politie en openbaar ministerie uitgebreide bevoegdheden moeten geven. Na de plannen voor dataretentie, de uitvoeringswetten voor digitale bewijsvoering en de bevoegdheden voor data-analyse en biometrische internetvergelijking is dit al het derde grote pakket van deze soort.
Vooral het geplande tempo van de wetgeving wordt bekritiseerd, omdat de voorstellen in hoog tempo door de Bundestag moeten worden geloodst.
Duiding en betekenis voor de beveiligingsbranche
De nieuwe bevoegdheden vormen een aanzienlijke uitbreiding van de cyberbeveiligingsmaatregelen van de overheid. Voor ondernemingen en organisaties betekent dit enerzijds een potentieel sterkere bescherming tegen cyberaanvallen, anderzijds ontstaan ook nieuwe juridische en technische uitdagingen.
De actieve cyberverdediging wordt gezien als noodzakelijke aanvulling op bestaande beschermingsmaatregelen zoals het harden van IT-systemen of wettelijke verplichtingen tot meer IT-beveiliging via de NIS2-regels.
Gevolgen voor de branche van de beveiligingstechniek
De uitgebreide bevoegdheden van de overheid zouden de eisen aan private beveiligingsoplossingen kunnen veranderen. Ondernemingen zullen mogelijk in toenemende mate kunnen vertrouwen op robuuste, door de overheid gecoördineerde afweermaatregelen, terwijl tegelijkertijd de documentatie en transparantie van hun eigen beveiligingsmaatregelen belangrijker wordt.
Vooruitblik: juridische en technische uitdagingen
De uitvoering van de nieuwe bevoegdheden zal verschillende uitdagingen met zich meebrengen. Volkenrechtelijke aspecten moeten evenzeer in aanmerking worden genomen als het praktische onderscheid tussen legitieme en oneigenlijk gebruikte systemen.
Voor de beveiligingsbranche ontstaan nieuwe samenwerkingsmogelijkheden met overheidsinstanties, maar tegelijkertijd stijgen ook de eisen aan de documentatie en navolgbaarheid van beveiligingsmaatregelen.
De komende maanden zullen laten zien hoe het debat over de uitgebreide bevoegdheden zich ontwikkelt en welke concrete gevolgen de nieuwe regelingen zullen hebben voor het cyberbeveiligingslandschap in Duitsland.
