Ny dimension i cyberförsvaret: BKA får utökade befogenheter
Den tyska säkerhetsarkitekturen står inför en betydande förändring: med den planerade lagen om stärkt cybersäkerhet ska Bundeskriminalamt (BKA) framöver få rätt att agera aktivt mot angriparinfrastrukturer. Förbundsinrikesminister Alexander Dobrindt (CSU) betecknade förslaget som en ”milstolpe för Tysklands säkerhetsarkitektur” och aviserade: ”Vi slår tillbaka, vi kopplar bort hotet. Om vi angrips kommer vi att kunna störa angriparna och förstöra deras infrastruktur.”
Denna nya form av ”aktivt cyberförsvar” markerar ett paradigmskifte i den tyska cybersäkerhetsstrategin. Medan hittills främst defensiva åtgärder stått i förgrunden ska man nu kunna agera förebyggande mot potentiella hot.
Från passivt skydd till aktivt försvar
Hittills har det tyska cyberförsvaret huvudsakligen begränsat sig till reaktiva åtgärder. ”Hittills har vi reagerat vid angrepp genom att försöka leda om dem till ofarliga delar av nätet”, förklarade minister Dobrindt det tidigare tillvägagångssättet. Dessa metoder har visserligen varit verkningsfulla, men utgjorde maximum av de hittillsvarande aktiva försvarsåtgärderna.
Framöver ska även angriparnas programvara och servrar i utlandet kunna tas i sikte. Denna utvidgning av befogenheterna motiveras politiskt med det förändrade säkerhetsläget och den ökade brådskan i cyberrymden.
Konkreta användningsscenarier för de nya befogenheterna
BKA ska enligt de nya reglerna få rätt att bekämpa olika typer av angriparinfrastrukturer:
- IoT-enheter som missbrukas för cyberangrepp
- Servrar som fungerar som lednings- och kontrollcentraler
- Kapade molninstanser
- Command & control-servrar för att samordna DDoS-attacker
Målet är att kunna ingripa tidigt för att stoppa angrepp som DDoS-attacker från början, innan de hinner orsaka skada.
Avgränsning mot det omstridda hackback-begreppet
Minister Dobrindt betonade att de planerade åtgärderna inte handlar om hackback. Ett hackback är en ”oriktad vedergällningsattack”, medan det här handlar om konkret faroavvärjning genom Bundeskriminalamt, gränspolisen och Bundesamt für Sicherheit in der Informationstechnik.
För att åskådliggöra saken drog ministern en liknelse: ”Om en herrelös resväska utgör en fara, då ingriper vi mot den och utreder inte först vem denna väska tillhör.” Vem som exakt står bakom ett angripande system är irrelevant för faroavvärjningen. Viktigt är bara att serverstrukturen utgör ett konkret hot.
På grund av denna avgränsning ser regeringen inget behov av att ändra grundlagen. De planerade åtgärderna ska hålla sig inom ramen för de befintliga konstitutionella möjligheterna.
Kritiska röster från civilsamhället
Trots regeringens försäkringar ser kritiker i regleringen en problematisk befogenhet till hackback. Deras främsta oro: vid professionella cyberangrepp missbrukas regelmässigt andras utrustning, vilket gör att åtgärderna kan drabba oskyldiga tredje parter i stället för de verkliga upphovsmännen.
De planerade cybersäkerhetsåtgärderna fogar sig till en rad lagförslag som ska ge polis och åklagare utökade befogenheter. Efter planerna på datalagring, genomförandelagarna om digital bevissäkring samt befogenheterna till dataanalys och biometriska internetjämförelser är detta redan det tredje stora paketet av detta slag.
Särskilt kritiseras det planerade lagstiftningstempot, eftersom förslagen ska passera förbundsdagen i ilfart.
Sammanhang och betydelse för säkerhetsbranschen
De nya befogenheterna utgör en betydande utvidgning av statens cybersäkerhetsåtgärder. För företag och organisationer innebär det å ena sidan ett potentiellt starkare skydd mot cyberangrepp, å andra sidan uppstår också nya rättsliga och tekniska utmaningar.
Det aktiva cyberförsvaret ses som ett nödvändigt komplement till befintliga skyddsåtgärder som härdning av IT-system eller lagstadgade krav på ökad IT-säkerhet genom NIS2-reglerna.
Effekter på säkerhetsteknikbranschen
De utökade statliga befogenheterna skulle kunna förändra kraven på privata säkerhetslösningar. Företagen kommer möjligen i högre grad att kunna förlita sig på robusta, statligt samordnade försvarsåtgärder, samtidigt som dokumentationen och transparensen kring deras egna säkerhetsåtgärder blir viktigare.
Utblick: rättsliga och tekniska utmaningar
Genomförandet av de nya befogenheterna kommer att föra med sig olika utmaningar. Folkrättsliga aspekter måste beaktas liksom den praktiska skillnaden mellan legitima och missbrukade system.
För säkerhetsbranschen uppstår nya samarbetsmöjligheter med statliga instanser, samtidigt som kraven på dokumentation och spårbarhet av säkerhetsåtgärder ökar.
De kommande månaderna kommer att visa hur debatten om de utökade befogenheterna utvecklas och vilka konkreta effekter de nya reglerna får på cybersäkerhetslandskapet i Tyskland.
