Kooperation und Governance im Cyberraum

Die zunehmenden Angriffe auf kritische Informationsinfrastrukturen verdeutlichen, dass sich digitale Netzwerke zu Austragungs­orten von Konflikten entwickelt haben. Entsprechend gewinnt der Cyberraum auch für militärische und sicherheitspolitische Fragen an Bedeutung. Während die Ver­sicherheitlichung des Cyberraums durch staatliche Akteure von einigen Expert:innen kritisch betrachtet wird, sehen andere in ihm einen legi­timen Schauplatz für Macht­politik und Abschreckung. Da Cyberangriffe nur schwer eindeutig zurückzuverfolgen sind, ist die Attribution, das heißt die poli­tische oder technische Zuordnung eines Vorfalls zu einem bestimmten Akteur, mit erheblichen Unsicherheiten verbunden. Die Komplexität dieses Verfahrens stellt Staaten mit geringerer Cyber-Reife vor große Heraus­forderungen. Entsprechend gibt es bereits verschiedene Empfehlungen zur Einrichtung multilateraler Attributionsmechanismen. Die Attribution betrachten die Staaten aber nach wie vor als nationales Prärogativ.

Traditionelle Instrumente der Sicherheits­governance greifen aufgrund des grenzüberschreitenden Charakters von Cyber­angriffen und der Grauzone zwischen zivi­lem und militärischem Handeln im Cyber­raum zu kurz. Gefordert ist deshalb ein transnationaler Ansatz. Cybergovernance lässt sich als mehrstufiges Modell verstehen, in dem globale, regionale und nationale Prozesse ineinandergreifen. Ideen der Ko­operation und Governance im Cyberraum gehen zurück auf das Bestreben, Cyber­sicherheitsrisiken als Bedrohung für die internationale Sicherheit zu werten und auf multilateraler Ebene Antworten zu finden. Seit 2004 werden durch die Vereinten Nationen in unregelmäßigen Abständen Groups of Governmental Experts (GGE) eingesetzt, um Fragen der internationalen Sicherheit im Bereich der Informations- und Kommunikationstechnologien zu dis­kutieren und Normen für verantwortungs­volles staatliches Verhalten zu entwickeln. Neben den GGE, denen nur eine begrenzte Zahl von Expert:innen angehören, wurde 2018 mit der Open-ended Working Group ein weiteres Verhandlungsformat geschaffen. Im Jahr 2026 wurde der Prozess dann durch einen Ständigen Globalen Mechanismus institutionell verstetigt. Zwar hat sich auf diese Weise auf VN-Ebene ein gemeinsamer institutioneller Rahmen für verantwortungsvolles staatliches Verhalten heraus­gebildet. Die konkrete Umsetzung ist jedoch weiterhin politisch umstritten.

Ein Instrument der multilateralen Cyber­diplomatie zur Wahrung von Stabilität im Cyberraum sind Vertrauensbildende Maß­nahmen (VBMs). Sie bieten einen Weg, um das Risiko von Fehlwahrnehmungen, un­intendierten Zwischenfällen und Spannungen im Cyberraum zu reduzieren. Staat­liche Cyberfähigkeiten lassen sich im Unter­schied zu konventionellen Waffensystemen nur begrenzt quantifizieren und über­prüfen, da sie überwiegend immateriell und informationsgebunden sind und viel­fach auf Dual-Use-Technologien beruhen. Während Transparenz bei konventionellen VBMs in der Regel stabilisierend wirkt, kann sie im Cyberbereich Verwundbar­keiten und mögliche Angriffsziele offen­legen. Cyber-VBMs konzentrieren sich des­halb stärker auf Kommunikation, Kooperation und Krisenmanagement unter Bedin­gungen technischer Unsicherheit. Ihre Umsetzung erfordert die Zusammenarbeit verschiedener staatlicher Stellen auf poli­tischer und technischer Ebene.

Cyberdiplomatische Ansätze erfahren von den Regierungen und Privatakteuren insgesamt jedoch wenig Aufmerksamkeit. Das allgemeine politische Klima und der gängige Cyber-Diskurs sind maßgeblich von der Frage der politischen Zuweisung von Verantwortung für Cyberangriffe (Attribution) und der Idee der aktiven Cyberabwehr geprägt. Umso bemerkenswerter ist es, dass die Cybersicherheitsdebatte in der OSZE zu den wenigen Bereichen gehört, in denen ein zwischenstaatlicher Austausch mit russischer Beteiligung weiterhin aufrechterhalten wird und vertrauensbildende Maßnahmen diskutiert werden.

Regionale Umsetzung von Normen und VBMs

Regionalorganisationen kommt eine beson­dere Bedeutung bei der Konkretisierung und praktischen Umsetzung global verein­barter Normen und vertrauensbildender Maßnahmen zu. Umgekehrt sollen regio­nale Erfahrungen und Best Practices in den globalen VN-Prozess zurückfließen. Derzeit wird unter anderem nach Möglichkeiten und Modalitäten gesucht, diesen interregio­nalen Austausch insbesondere zum Thema VBMs zu verstetigen. Neben den Vereinten Nationen beschäftigen sich verschiedene Regionalorganisa­tionen, darunter die OSZE, die Organisation Amerikanischer Staaten (OAS), das ASEAN Regional Forum (ARF) und afrikanische Regionalorganisationen, mit der Entwicklung und Umsetzung von Regeln, Kooperationsmechanismen und VBMs im Cyberraum.

In diesem Zusammenhang gilt die OSZE als erste multilaterale Organisation, die auf Anregung der UN GGE 2013 begann, prak­tische VBMs zu verabschieden und um­zusetzen. Das Ziel des ersten Pakets über 11 freiwillige bzw. politisch nicht bindende Maßnahmen bestand darin, Vertrauen und Transparenz aufzubauen. Dazu gehören Konsultationsmechanismen zur Verringerung des Risikos von Fehlwahrnehmungen und Eskalation im Zusammenhang mit Cybervorfällen (VBM 3) sowie der Aufbau eines Netzwerks nationaler Kontaktstellen (Points of Con­tact, PoC) für direkte Kom­munikation zwischen den teilnehmenden Staaten (VBM 8). Weitere fünf Maßnahmen kamen 2016 dazu. Ursprünglich sollte noch ein drittes Paket über Stabilitätsmaßnahmen den Prozess abschließen, gemäß dem die teilnehmenden Staaten von destabilisierenden Aktivi­täten Abstand genommen hätten, beispielsweise von Angriffen auf zivile und kritische Infrastruktur. Doch es gab in der Folge keinen politischen Willen mehr, die Maßnahmen zu erweitern. Auf VN-Ebene entwickelte sich zwischen 2022 und 2024, ergänzend zu den Normen verantwortungsvollen staatlichen Handelns, ein Rahmenwerk von acht freiwilligen vertrauens­bildenden Maßnahmen, das insbesondere Transparenz, zwischenstaatliche Kommunikation und Kooperation fördern und Eskalationsrisiken mindern soll.

Die Organisation Amerikanischer Staaten (OAS) konzipierte, ergänzend zu den kon­ventionellen VBMs, ebenfalls spezifische Cyber-VBMs. Allerdings richtet sich die Agenda der OAS stärker auf den Fähigkeitsaufbau, das heißt auf die Unterstützung von Staaten mit geringen Cyberfähigkeiten. Auch Einrichtung und Vernetzung natio­naler Computer Security Incident Response Teams (CSIRTs) spielen eine wichtige Rolle. Im Vergleich zur OSZE ist die Arbeit der OAS bislang weniger stark von geopolitischen Blockaden geprägt.

Auch die ASEAN-Staatengruppe (Association of Southeast Asian Nations) bzw. ihr Regional Forum (ARF) verbindet ver­trauens­bildende Maßnahmen mit der regions­spezi­fischen Tradition präventiver Diplomatie. Der Schwerpunkt liegt auf Dialog, Fähigkeitsaufbau und technischer Zusammen­arbeit, wobei vor allem die Ver­netzung von CSIRTs eine wichtige Rolle spielt. Die Zu­sammenarbeit technischer Reaktionsstellen in Südostasien gilt dabei als ein Beispiel dafür, wie Vertrauen zu­nächst auf funk­tionaler und technischer Ebene aufgebaut werden kann. Auf dem afrikanischen Kon­tinent verfolgt die subregionale Economic Community of West African States (ECOWAS) beispielsweise Ansätze zur Stärkung regio­naler Cybersicher­heit, insbesondere indem sie die Erarbeitung regionaler Cyber-VBMs fördert. Eine besondere Herausforderung besteht in der Region weiterhin darin, Cybersicherheit nicht ausschließlich als technisches oder sicherheitspolitisches Problem zu behandeln, sondern als eine staatliche Aufgabe, die in Verbindung mit sozioökonomischer Entwicklung und der Stärkung der gesellschaftlichen Resilienz gedacht werden muss.

OSZE als Forum für Cyberdiplomatie

Die divergierenden Bedrohungsperzeptionen und die damit einhergehende Polarisierung innerhalb der OSZE unterscheiden sich deutlich von anderen regionalen Kon­texten. Der Verlust geopolitischen Ver­trauens hat die Handlungsfähigkeit der Organisation spätestens seit 2022 in zentra­len sicherheitspolitischen Fragen erheblich eingeschränkt. Mit der Informellen Arbeits­gruppe (IWG) zu Cybersicherheit und Sicher­heit in der Informations- und Kom­munikationstechnik (IKT), die 2012 auf Grundlage des Beschlusses Nr. 1039 des Ständigen Rats ein­gerichtet wurde, verfügt die OSZE jedoch über ein Gremium, das die Transparenz, Vorhersehbarkeit und Stabi­lität im Umgang mit IKT-Risiken fördern soll. Tagesordnungen und Diskussionen des primär technischen Organs sind weniger politisiert als die anderer OSZE-Gremien. Die teil­nehmenden Staaten betrachten das Gre­mium, das zwei bis drei Mal pro Jahr in Wien zusammenkommt, als eine Art »Hygieneritual«, das zwar keine Schlag­zeilen mache, aber nutzbringend sei. Die teilnehmenden Staaten tauschen sich hier über den Stand der Implementierung der VBMs und über aktuelle nationale Cyber­strategien, -doktrinen, und -Gesetzgebung aus. Die Inputs sind laut Interview­part­ner:innen in der Regel substanziell und die Teilnahme der Delegationen, da auch on­line möglich, ist gewährleistet. Vieles, was im Rahmen der IWG geschieht, ist deklara­tiver Natur, doch bringt der Aus­tausch mehr Transparenz und Berechenbarkeit mit sich. Ähn­lich wie im VN-Kon­text treten jedoch Schwierigkeiten bei der Definition zentraler Begriffe auf und es überwiegt die Zurückhaltung gegenüber rechtlich bin­denden Verpflichtungen. Nichtsdestotrotz wurde eine Sprache und wurden Normen geschaffen, deren bloße Erhaltung bereits einen Mehrwert darstellt. Bemängelt wird von Interviewpartner:innen hingegen, dass das Cybermandat der OSZE jenseits von Vertrauensbildung nicht eindeutig sei. Auch, dass abrüstungskontrollpolitische Aspekte gänzlich ausgeklammert werden, wird teilweise kritisch gesehen.

Der Erfolg der insgesamt 16 VBMs (siehe Grafik 2) hängt maßgeblich davon ab, ob die teilnehmenden Staaten diese nicht nur implementieren, sondern tatsächlich an­wenden. Im Rahmen der sogenannten »Adopt-a-CBM«-Initiative unterstützen ein­zelne Teilnehmerstaaten bei der Umsetzung bestimmter VBMs, bieten einen Erfahrungs­austausch an und entwickeln konkrete Im­plementierungs­formate. Ein zentraler An­satzpunkt ist hier die unter VBM 10 vor­gesehene Nutzung bestehender OSZE-Platt­formen, insbesondere des gesicherten OSCE Communications Network (CommsNet). Nach Einschätzung der Befragten unterscheiden sich Nutzung und Akzeptanz dieser Mechanismen durch die teilnehmenden Staaten er­heb­lich. Auch die nationalen Vor­aussetzungen variieren. Einigen Staaten fehlen nach wie vor institutionelle und technische Fähigkeiten und teilweise auch das Bewusst­sein für die Relevanz von VBMs, um sich an ihrer praktischen Umsetzung beteiligen zu können.

Der Fähigkeitsaufbau erfüllt hier eine doppelte Funktion: Einerseits handelt es sich um eine eigenständige Maßnahme (VBM 5). Andererseits ist er ein Instrument, um Staaten überhaupt zur Umsetzung weiterer VBMs zu befähigen. Eine zu­nehmende Konzentration der OSZE auf Capacity Building kann zugleich als Reak­tion auf die Grenzen politischen Handelns in der klassischen zwischenstaatlichen Vertrauensbildung interpretiert werden.

Auf nationaler Ebene wird auch der Resilienzaufbau immer wichtiger. Dies betrifft vor allem den Schutz kritischer Infrastruktur (VBM 15). Da diese häufig im privaten Sektor verortet ist, ist die Zusammenarbeit mit diesem ein Schlüssel (VBM 14 zu Öffentlich-privaten Partnerschaften). Diese VBMs verpflichten die Staaten dazu, Mechanismen für den Informations­austausch zwischen der öffentlichen Ver­waltung, Unternehmen und der Zivilgesellschaft zu etablieren. Private Unternehmen und die Zivilgesellschaft sollten daher eben­falls Kenntnis von der Existenz von VBMs erhal­ten und involviert werden. Doch dies ist zwischen den zumeist westlichen Staaten und Staaten wie Russland und China um­stritten. Während einige Staaten auf restrik­tive Akkreditierungs- und Beteiligungs­verfahren drängen, setzen sich vor allem westliche Staaten für eine breite Einbindung des Privatsektors, der Wissenschaft und der Zivilgesellschaft ein. Nicht zuletzt vor diesem Hintergrund gewinnt eine regula­torisch-technische Dimension der Cybergovernance zunehmend an Bedeutung.

Technische und politische Kooperation

Die informelle Arbeitsweise der OSZE bietet das Potential, die Kooperation im Cyberraum maßgeblich zu verbessern. Anhand einer Analyse des staatlichen Reaktions­verhaltens im Cyberraum lässt sich auf­zeigen, wo angesichts der verschärften geopolitischen Situation eine Kooperation in der OSZE und anderen Regionalorganisationen noch möglich sein könnte. Entscheidend ist dabei, welche Formen der Zusam­menarbeit auch bei geringem politischem Vertrauen tragfähig sind.

Im Rahmen des EuRepoC-Projekts wurden 412 staatliche Reaktionen von Nato-Mitgliedstaaten auf Cyberangriffe aus den Jahren 2021 bis 2025 untersucht (Berechnungen auf Grundlage des bisher unveröffentlichten EuRepoC-Reaktionsdatensatzes). Die Daten lassen erkennen, dass die Koope­ration alles in allem selbst unter Verbündeten begrenzt ist, aber auch, dass die Etablie­rung von Kooperationsmechanismen auf der tech­nischen Ebene, also jenseits der poli­tisch umstrittenen kollektiven Zu­weisung von Schuld, besonders erfolg­versprechend ist. Insgesamt ist das Reak­tionsverhalten im Bündnis stark vom Sicher­heitsdiskurs geprägt. 45 Prozent aller er­fassten Reaktionen entfallen auf sogenann­te Sicherheitshinweise (Security Advisories), in denen Behörden zum Beispiel auf Sicherheitslücken, deren Ausnutzung oder Kampagnen bestimmter Akteure hinweisen, auf die formale Zuweisung von Verantwortung oder operative Hand­lungen. Und trotz der zu­nehmend kritischen Cybersicherheitslage wird nur auf einen kleinen Teil der erfass­ten Cybervorfälle überhaupt reagiert (17 Prozent). Unabhängig von ihrer Form bleiben die meisten Reaktionen (69 Prozent) auf einer kommunikativen Ebene. Sie laufen also ohne unmittelbare operative Konsequenzen ab.

Bemerkenswert ist die Differenz zwischen der technischen und der politischen Ebene. Im Gegensatz zur politischen Attri­bution wird im Rahmen der technischen Attribution regelmäßig nicht der verantwortliche Staat, sondern (manchmal aus­schließlich) die verantwortliche Hackergruppe benannt. Die politische Zuweisung von Verantwortung wird dabei durch eine rein technische Warnung ersetzt, die sich mit Informationen zum Angriffsvektor in erster Linie an Verteidiger richtet, parallel jedoch auch dem Angreifer signalisiert, dass er »gesehen« wird. In diesem Sinne können Regierungen die Attribution auch an IT-Sicherheitsunterneh­men auslagern, um sich einen diplomatischen Spielraum zu schaffen und Eskalationsdynamiken besser kontrollieren zu können. Dabei unterscheiden sich die beiden Ebenen der Attribution auch in der Intensität der inter­nationalen Zusammenarbeit: Die technische Ebene erlaubt oftmals eine engere Zusammen­arbeit. Insgesamt haben 21,6 Prozent aller erfassten Reaktionen eine multilaterale Komponente. Besonders häufig sind dabei koordinierte Reaktionen, also solche, an denen mehrere Staaten beteiligt sind und aufeinander ver­weisen, dabei aber weiter­hin eigene Statements veröffentlichen. Etwas weniger häufig sind gemeinsame Reaktionen, bei denen mehrere Staaten im Verbund handeln und schließlich ein gemeinsames Statement abgeben.

Auf der politischen Ebene erfolgen ver­stärkt koordinierte Reaktionen (28,3 Pro­zent der politischen Reaktionen). Staaten reagieren in diesen Fällen zwar prinzipiell eigen­ständig, stimmen ihre Reaktionen aber aufeinander ab und verweisen auf­einander. Eine engere Abstimmung bei gemeinsamen Reaktionen, bei der Staaten tatsächlich gemeinsam vorgehen, findet dagegen sehr viel stärker auf der technischen Ebene statt (41,2 Prozent der techni­schen Reaktionen). Dann werden gemeinsame Reaktionen oft als Joint Advisories von den operativen Cybersicherheitseinrichtungen getragen. Dabei entpolitisiert der tech­nische Kanal die Frage von Schuld und Verantwortung und eröffnet somit andere Handlungsspielräume. Gemeinsame politische Erklärungen werden hingegen eher über internationale Einrichtungen wie den Nordatlantikrat der Nato oder den Hohen Vertreter bzw. den Rat der EU koordiniert und herausgegeben oder im Rahmen internationaler Konferenzen auf Außenministerebene verabschiedet. Die Beobachtung, dass selbst unter verbündeten Staaten lediglich die technische Ebene eine vertiefte Kooperation erlaubt, lässt Rück­schlüsse darauf zu, welche (begrenzten) Optionen der Zusammenarbeit in anderen regionalen Kontexten denkbar sind. Gerade die technischen Formen der Kooperation, die keine gemeinsame politische Attribu­tion voraussetzen, könnten begrenzte Handlungsspielräume offenhalten. Hier­aus ergeben sich Ansatzpunkte dafür, wie die OSZE unter den Bedingungen eines an­haltenden low trust environment Kooperation im Cyberbereich aufrechterhalten kann.

Bezüglich der Klassifizierungen von Cybervorfällen stellt sich die Lage innerhalb der OSZE als ein Flickenteppich dar: Es fehlen gemeinsame Schwellenwerte, ab wann ein Vorfall als konsultationswürdig gilt. Gleichzeitig werden für Abstimmungen hinsichtlich Reaktionen und Attribu­tionen unter Partnern vorhandene Formate im EU- und Nato-Rahmen bevorzugt. Letzt­lich entschei­det jeder Staat selbst, was ein »schwer­wiegender« Vorfall ist – mit dem Ergebnis, dass im Rahmen der IWG bei den Lage­berichten und der Vorstellung der Quartals­zahlen erhebliche Unterschiede hinsichtlich der Berichtszahlen bestehen. Die Situa­tion hinsichtlich berichtenswerter Cybervorfälle sei laut Beobachter:innen häufig eine ähnliche, nur die Klassifizierungssysteme unterschieden sich.

Strukturelle Defizite und Chancen

Cyberdiplomatie und -kooperation befinden sich aktuell in einem Spannungsfeld zwischen der Notwendigkeit der Auf­rechterhaltung eines technischen Dialogs als Kanal für Risikominimierung und geo­politisch be­dingter Stagnation.

Im derzeitigen Sicherheitsumfeld haben VBMs eine eher konservierende als trans­formierende Wirkung. Einige Staaten nutzen vorhandene Foren verstärkt für politisches oder vereinzelt sogar militärisches Signalling; für andere spielt der Kapazitätsaufbau eine weitaus wichtigere Rolle. Cyber-VBMs im Kontext steigender Inzidenzzahlen sind zwar nicht dazu da, gezielte Angriffe zu verhindern, aber sie bleiben wichtig, um die »Sprechfähigkeit« zwischen den Staaten zu erhalten und die Schwelle für unintendierte Eskalationen zu erhöhen. Doch der Kooperationswille und damit auch VBMs stoßen an Grenzen, wenn es um nationale Sicherheits- und Souveränitätsinteressen oder offensive Fähigkeiten geht. Dies gilt besonders für die Klassifizierung von Vorfällen, die Koordination von Reaktionen sowie politische und technische Attributionen – in all diesen Bereichen ist kooperatives Vorgehen selbst unter verbün­deten Staaten limitiert.

Gegenwärtig ist kaum vorstellbar, dass die OSZE oder andere übergeordnete Enti­täten bei Fragen der Klassifizierung oder Attribution von Zwischenfällen unter­stützen könnten. Die OSZE verfügt über kein Mandat oder Kompetenzen, um Vor­fälle zu untersuchen bzw. zu klassifizieren. Deshalb sind Überlegungen geboten, wie die Harmonisierung nationaler Methodiken der Klassifizierung vorangetrieben werden kann, zum Beispiel durch subregionale Koalitionen oder Koalitionen der Willigen. Auch die Diskussion über Stabilitäts­maßnahmen sollte wieder aufgegriffen werden. Hierbei könnte es um die Kon­sequenzen von inakzeptablen und destabi­lisierenden Effekten sowie Fehlverhalten gehen, zum Beispiel um die Problematisierung von Cyberangriffen auf bestimmte zivile und kritische Infrastrukturen (in Anlehnung an Norm 13 (f) des UN GGE-Berichts zur Stärkung verantwortlichen Staatsverhaltens im Cyberraum).

Im Kontext von »low« bis »no trust« ist Risikominimierung bzw. -management auf der technischen Ebene heute aussichts­reicher als politische Vertrauensbildung. Auf der Arbeitsebene der teilnehmenden Staaten sind Handlungsspielräume größer und können einen Schutzraum für den fortlaufenden Dialog darstellen, auch weil hier ein höheres Maß an Informalität und entsprechende Kanäle vorhanden sind und die politisch brisanten Fragen der Zuordnung leichter ausgeklammert werden kön­nen. Doch sollte diese Erkenntnis nicht der weiteren Vertiefung von Silo-Strukturen auf der technischen und politischen Ebene Vor­schub leisten. Tatsächlich wird in vielen Staaten Cybersicherheit noch immer als reines IT-Thema wahrgenommen. Bei schwer­wiegenden Vorfällen trägt jedoch die politisch-diplomatische Ebene die Letzt­verantwortung. Die Analyse staatlicher Reaktionen auf Grundlage des Response-Datensatzes zeigt, dass die Muster multi­lateraler Kooperation überwiegen und die Staaten in der Cyberabwehr dann kooperieren, wenn es nicht um politische Zuweisung von Verantwortung, sondern um technische Warnungen geht.

Die Bereitschaft der teilnehmenden Staaten, den privaten Sektor einzubeziehen, ist höher, wenn es sich bei einem Vorfall nicht um einen politisch motivierten Cyberangriff, sondern zum Beispiel um Cyberkriminalität handelt.

Ausblick

Die Regierungen der OSZE-Teilnehmer­staaten sind gut beraten, einen zweigleisigen Ansatz zu verfolgen: Sie sollten weiter in vertrauensbildende Maßnahmen inves­tieren und diese umsetzen, aber auch ihre nationale Cyberresilienz stärken. Maßnahmen zum Fähigkeitsaufbau können dabei eine Brücke schlagen, indem sowohl Ver­trauens­bildung niedrigschwellig weiter­verfolgt wird als auch nationale Strukturen und Reaktionsfähigkeiten in der gesamten Region gestärkt werden. Cyber-VBMs blei­ben vorerst eine wichtige substituierende Strategie, vor allem solange rüstungs­kontrollpolitische Maßnahmen im Cyber­bereich nicht realisierbar sind. Es kann jedoch nicht erwartet werden, dass im Falle eines Waffenstillstands zwischen Russland und der Ukraine ein friedlicher Cyberraum die Folge sein wird. Gleichwohl sollte trotz aller strukturellen Defizite das Augenmerk auf die Chancen gelegt werden, die multi­laterale Kooperation und Diplomatie im Cyberraum bieten.