Nieuwe strategie: van passieve verdediging naar actieve cyberverdediging
De bondsregering plant een fundamentele strategiewijziging in de Duitse cyberbeveiliging. Een door het kabinet aangenomen wetsvoorstel moet het Bundesamt für Sicherheit in der Informationstechnik (BSI), de Bundespolizei en het Bundeskriminalamt (BKA) uitgebreide bevoegdheden geven voor een "actieve cyberverdediging". Deze maatregelen gaan duidelijk verder dan eerdere preventieve benaderingen en maken voor het eerst direct ingrijpen in structuren van aanvallers mogelijk.
Bondsminister van Binnenlandse Zaken Alexander Dobrindt (CSU) beschrijft de nieuwe aanpak als proactief optreden: "Wij slaan terug, wij schakelen de dreiging uit, wanneer wij worden aangevallen, wij zullen aanvallers verstoren en hun infrastructuur kunnen vernietigen." Deze aankondiging markeert een paradigmawisseling van een puur defensieve naar een offensieve cyberstrategie.
Concrete bevoegdheden en maatregelen in detail
Het wetsvoorstel voorziet in verschillende nieuwe instrumenten die aan de veiligheidsdiensten ter beschikking moeten worden gesteld:
- Verbod op het gebruik van informatietechnische systemen waarvan een gevaar uitgaat
- Omleiding van dataverkeer voor analyse en onderbreking van aanvallen
- Uitlezen, wissen of wijzigen van gegevens in systemen van derden
- Optreden tegen wisselende kwaadaardige internetdomeinen
Het BSI moet het recht krijgen om op verzoek van instellingen in hun IT-systemen te zoeken naar voorbereidende handelingen van aanvallers en deze te identificeren. Daarbij ligt een bijzondere focus op de bestrijding van de verspreiding van schadelijke software via gecompromitteerde domeinen.
Voor de uitvoering van de geplande wijzigingen zijn in totaal 37 extra medewerkers nodig, wat de verwachte werklast voor de nieuwe taakgebieden duidelijk maakt.
Onderbouwing: Duitsland in het vizier van internationale cyberaanvallen
De bondsregering onderbouwt de wetswijziging met het toenemende dreigingsbeeld. Duitsland staat als leidende economie in Europa in versterkte mate in de focus van cyberaanvallen, die deels grote gevolgen kunnen hebben. Vooral hybride dreigingen winnen aan betekenis.
Vreemde mogendheden, statelijke actoren of daarmee verbonden organisaties zijn in toenemende mate de veroorzakers van cyberaanvallen op Duitsland. De aanvallen richten zich tegen economie, industrie, overheidsinstanties en politiek, met de doelen:
- Spionage
- Sabotage
- Afpersing
- Machtsvertoon in de digitale ruimte
Volgens het wetsvoorstel bieden "preventieve maatregelen in de eigen IT-systemen alleen geen afdoende bescherming" tegen grootschalige cyberaanvallen met groot schadepotentieel. Daarom moeten de instanties aanvullende mogelijkheden krijgen om zulke aanvallen rechtstreeks te stoppen.
Afbakening tussen gevarenafwending en strafvervolging
De aanvullende bevoegdheden voor de Bundespolizei moeten uitsluitend dienen voor de gevarenafwending, niet voor de strafvervolging. Bijzondere afweermaatregelen zijn alleen in bepaalde gevallen voorzien, bijvoorbeeld wanneer het gevaar zich richt tegen "instanties of instellingen waarvan het functioneren van wezenlijke betekenis is voor de samenleving of de defensie".
Kritische stemmen uit het bedrijfsleven
De branchevereniging van de internetsector Bitkom verwelkomt weliswaar in beginsel de sterkere inzet van de bondsregering bij de cyberverdediging, maar ziet problematische aspecten. Bijzonder kritisch beoordeelt Bitkom de nieuwe ingrijpbevoegdheden voor de Bundespolizei en het BKA, die tegenaanvallen op systemen van aanvallers mogelijk maken.
Het belangrijkste kritiekpunt: "Omdat cyberaanvallen technisch vaak niet zonder twijfel zijn toe te wijzen en daders valse sporen leggen, dreigen onbetrokken derden te worden getroffen." Deze inschatting verwijst naar de technische complexiteit van de attributie van cyberaanvallen en mogelijke nevenschade.
Ook de Bundesverband der Deutschen Industrie (BDI) ziet behoefte aan verbetering. De kritiek richt zich tegen de staatsgerichte benadering: "Het voorstel zet tot dusver te sterk in op overheidsingrijpen en te weinig op de samenwerking met het bedrijfsleven." De medewerkingsplichten voor ondernemingen zouden preciezer en evenrediger moeten worden geformuleerd.
Betekenis voor de beveiligingsbranche
De geplande wetswijzigingen hebben verstrekkende implicaties voor de gehele beveiligingsbranche. Ondernemingen moeten zich instellen op ruimere ingrijpmogelijkheden van de overheid en hun IT-beveiligingsconcepten dienovereenkomstig aanpassen. Dit betreft zowel de technische infrastructuur als de juridische compliance-eisen.
Voor aanbieders van beveiligingstechniek ontstaan nieuwe werkterreinen, omdat verhoogde overheidsactiviteiten ook overeenkomstige beschermingsmaatregelen voor ondernemingen noodzakelijk maken. De vraag naar robuuste beveiligingsoplossingen zal naar verwachting verder stijgen.
Vooruitblik: paradigmawisseling met open vragen
Het wetsvoorstel markeert een fundamentele verandering in de Duitse cyberbeveiligingsstrategie. Voor het eerst moeten overheidsinstanties niet alleen defensief handelen, maar actief in systemen van derden kunnen ingrijpen. Dit brengt echter juridische en technische uitdagingen met zich mee die nog niet volledig zijn opgehelderd.
De kritiek van werkgeversorganisaties laat zien dat de balans tussen effectieve cyberverdediging en bescherming van onbetrokken derden een centrale uitdaging vormt. Hoe deze actieve cyberverdediging zich in de praktijk bewijst en of de juridische kaders voldoende precies zijn, zal pas bij de toepassing blijken.
Ondernemingen zouden zich nu al moeten voorbereiden op de veranderde rechtssituatie en hun beveiligingsconcepten dienovereenkomstig aanpassen. De samenwerking tussen overheidsinstanties en het private bedrijfsleven zal daarbij van doorslaggevend belang zijn voor het succes van de nieuwe strategie.
