Ny strategi: från passivt försvar till aktivt cyberförsvar
Den tyska regeringen planerar ett grundläggande strategibyte inom den tyska cybersäkerheten. Ett lagförslag som antagits av regeringen ska ge Bundesamt für Sicherheit in der Informationstechnik (BSI), gränspolisen och Bundeskriminalamt (BKA) utökade befogenheter för ett ”aktivt cyberförsvar”. Dessa åtgärder går tydligt utöver hittillsvarande förebyggande ansatser och tillåter för första gången direkta ingrepp i angriparstrukturer.
Förbundsinrikesminister Alexander Dobrindt (CSU) beskriver det nya angreppssättet som proaktivt: ”Vi slår tillbaka, vi kopplar bort hotet när vi angrips, vi kommer att kunna störa angripare och förstöra deras infrastruktur.” Detta besked markerar ett paradigmskifte från en rent defensiv till en offensiv cyberstrategi.
Konkreta befogenheter och åtgärder i detalj
Lagförslaget innehåller olika nya verktyg som ska ställas till säkerhetsmyndigheternas förfogande:
- Förbud mot drift av informationstekniska system som utgör en fara
- Omledning av datatrafik för analys och avbrytande av angrepp
- Utläsning, radering eller ändring av data i främmande system
- Åtgärder mot växlande skadliga internetdomäner
BSI ska få rätt att på begäran av institutioner söka efter och identifiera angripares förberedande åtgärder i deras IT-system. Därvid ligger ett särskilt fokus på att bekämpa spridning av skadlig kod via komprometterade domäner.
För att genomföra de planerade ändringarna krävs sammanlagt 37 ytterligare anställda, vilket åskådliggör den förväntade arbetsinsatsen för de nya uppgiftsområdena.
Motivering: Tyskland i siktet för internationella cyberangrepp
Regeringen motiverar lagändringen med den tilltagande hotbilden. Tyskland står som ledande ekonomi i Europa alltmer i fokus för cyberangrepp som delvis kan få stor verkan. Särskilt hybrida hot vinner i betydelse.
Främmande makter, statliga aktörer eller organisationer med koppling till dem är alltmer upphovsmän till cyberangrepp mot Tyskland. Angreppen riktas mot näringsliv, industri, statliga instanser och politik, med målen:
- Spionage
- Sabotage
- Utpressning
- Maktdemonstration i den digitala sfären
Enligt lagförslaget ger ”förebyggande åtgärder i de egna IT-systemen ensamma inget tillräckligt skydd” mot storskaliga cyberangrepp med stor skadepotential. Därför måste myndigheterna få kompletterande möjligheter att direkt stoppa sådana angrepp.
Avgränsning mellan faroavvärjning och brottsutredning
De ytterligare befogenheterna för gränspolisen ska uteslutande tjäna faroavvärjning, inte brottsutredning. Särskilda försvarsåtgärder är endast avsedda i bestämda fall, exempelvis när faran riktar sig mot ”myndigheter eller inrättningar vars funktion är av väsentlig betydelse för samhället eller försvaret”.
Kritiska röster från näringslivet
Branschorganisationen Bitkom välkomnar visserligen i grunden regeringens ökade engagemang för cyberförsvaret, men ser problematiska aspekter. Särskilt kritiskt bedömer Bitkom de nya ingreppsbefogenheterna för gränspolisen och BKA, som möjliggör motangrepp mot angriparnas system.
Huvudkritiken: ”Eftersom cyberangrepp tekniskt ofta inte kan hänföras utan tvivel och gärningspersoner lägger ut falska spår hotar oskyldiga tredje parter att drabbas.” Denna bedömning pekar på den tekniska komplexiteten i att attribuera cyberangrepp och på möjliga följdskador.
Även den tyska industriorganisationen Bundesverband der Deutschen Industrie (BDI) ser behov av förbättringar. Kritiken riktas mot det statscentrerade angreppssättet: ”Förslaget bygger hittills för mycket på statliga ingrepp och för lite på samarbete med näringslivet.” Medverkansskyldigheterna för företagen måste formuleras mer precist och proportionerligt.
Betydelse för säkerhetsbranschen
De planerade lagändringarna får långtgående följder för hela säkerhetsbranschen. Företagen måste ställa in sig på ökade myndighetsingrepp och anpassa sina IT-säkerhetskoncept därefter. Det gäller både den tekniska infrastrukturen och de rättsliga efterlevnadskraven.
För leverantörer av säkerhetsteknik uppstår nya affärsområden, eftersom ökad statlig aktivitet också gör motsvarande skyddsåtgärder nödvändiga för företagen. Efterfrågan på robusta säkerhetslösningar torde fortsätta att öka.
Utblick: paradigmskifte med öppna frågor
Lagförslaget markerar en fundamental förändring i den tyska cybersäkerhetsstrategin. För första gången ska statliga instanser inte bara agera defensivt, utan aktivt kunna ingripa i främmande system. Detta för dock med sig rättsliga och tekniska utmaningar som ännu inte är fullständigt klarlagda.
Kritiken från näringslivsorganisationerna visar att balansgången mellan effektivt cyberförsvar och skydd av oskyldiga tredje parter utgör en central utmaning. Hur detta aktiva cyberförsvar fungerar i praktiken och om de rättsliga ramvillkoren är tillräckligt precisa kommer att visa sig först vid tillämpningen.
Företagen bör redan nu förbereda sig på det förändrade rättsläget och anpassa sina säkerhetskoncept därefter. Samarbetet mellan statliga instanser och privat näringsliv blir därvid av avgörande betydelse för den nya strategins framgång.
