Europas Cybersicherheit hängt an den USA

Die Abhängigkeit des Cybersicher­heits-Ökosystems von den USA

Sowohl US-Unternehmen als auch die US-Regierung nehmen eine zentrale Rolle im globalen Cybersicherheits-Ökosystem ein. Fünf Aspekte sind hier besonders bedeut­sam.

US-Unternehmen beherrschen den Markt für Cybersicherheits-Anwendungen. Zunächst beherrschen Unternehmen aus den Vereinigten Staaten den europäischen Markt für Cybersicherheits-Software, der für die Cybersicherheit von Gesellschaft und Wirtschaft besonders wichtig ist. Zu den betreffenden Anwendungen zählen etwa:

• Anti-Viren-Software, die bekannte Schad­software blockiert,

• »firewalls«, die unerwünschten Netzwerkverkehr abwehren,

• »Endpoint Detection and Response« (EDR)-Anwendungen, die Endgeräte (wie Computer oder Mobiltelefone) beobachten, um ungewöhnliches Verhalten fest­zustellen, oder

• »Security Information and Event Manage­ment« (SIEM)-Systeme, die Informationen über Vorfälle im gesamten Netzwerk einer Organisation zusammenführen.

Europäische Anwender:innen dieser Produkte nutzen vor allem solche von US-Unternehmen wie Broadcom, Cloudflare, IBM und Microsoft. Zwar gibt es auch An­bieter außerhalb der Vereinigten Staaten, die solche Anwendungen zur Verfügung stellen. Ein Wechsel wäre allerdings mit hohem Aufwand verbunden.

US-Unternehmen dominieren den Markt für Informationen über Cybersicherheits-Bedrohungen. Um eigene Systeme und Geräte vor Cybersicherheits-Bedrohungen zu schützen, benötigt IT-Fachpersonal neben entsprechenden Anwendungen und den unten beschriebenen Informationen über Schwachstellen auch Informationen über aktuelle und potentielle Bedrohungen (sogenannte Cyber Threat Intelligence, kurz CTI). Denn CTI erlaubt es, die aktuelle Risikolage zu beurteilen und Entscheidungen über Schutzmaßnahmen zu treffen.

Auch der Markt für CTI wird von US-amerikanischen Unternehmen beherrscht, darunter CrowdStrike, IBM, Google (Man­diant) und Recorded Future. Große Firmen, die auch andere Cybersicherheits-Produkte anbieten – besonders solche, die Daten über Vorfälle sammeln, wie EDR oder SIEM – können leichter CTI bereitstellen. Ent­sprechend bevorteilt der Markt vertikal integrierte Unternehmen, die verschiedene Produkte entlang der Wertschöpfungskette in ihrem Portfolio haben. Zwar gibt es CTI-Anbieter außerhalb der USA, doch diese haben nur kleine Marktanteile oder dürf­ten, wie im Fall des russischen Unternehmens Kaspersky, aus politischen Gründen für europäische Anwender:innen nicht in Frage kommen.

Ohne die CTI der führenden US-Unter­nehmen würde somit europäisches IT-Fach­personal den Zugriff auf Informationen über besonders fortgeschrittene Bedrohungsakteur:innen verlieren. Damit ent­fiele die Datengrundlage, um Ressourcen für Cybersicherheit gezielt einzusetzen.

US-Streitkräfte sammeln Erkenntnisse über Cyberbedrohungen. Neben Unternehmen generiert auch das Militär der Vereinigten Staaten CTI. Konkret führt das US Cyber Command sogenannte »hunt forward«-Operationen durch, bei denen Angehörige des US-Militärs auf Einladung eines Partnerstaats in dessen Netzen nach Bedrohungen suchen.

Europäische Staaten profitieren in ver­schiedener Weise von diesen Erkenntnissen. Erstens dann, wenn das Cyber Com­mand unmittelbar gegen gegnerische Infra­struktur vorgeht oder US-Anbieter von Cybersicherheits-Anwendungen ihre Pro­dukte auf Basis der betreffenden Informa­tionen verbessern. Zweitens haben sich bisherige »hunt forward«-Operationen auf Europa konzentriert, vor allem das Balti­kum und Südosteuropa, und so europäischen Staaten auf direktem Wege wertvolle CTI verschafft. Drittens hat das US-Militär die erhaltenen Informationen stellenweise mit weiteren europäischen Verbündeten geteilt und einige davon veröffentlicht. Es ist an­zunehmen, dass die so gesammelten Er­kenntnisse eine Informationsquelle für die Verteidigung europäischer Staaten dar­stellen.

Die US-Regierung finanziert Schwachstellen-Datenbanken. Aufgrund der schieren Anzahl an Software-Produkten und der in ihnen entdeckten Schwachstellen ist es wichtig, dass dasselbe Problem nicht mehr­fach erfasst wird und alle Instanzen, die an der Behebung von Schwachstellen beteiligt sind, sich leicht verständigen können. Da­für braucht es ein weltweit einheitliches System zur Identifikation und Benennung von Schwachstellen. Diese Funktion über­nimmt die Common Vulnerabilities and Exposures (CVE)-Datenbank.

Sie wird von der gemeinnützigen US-Organisation MITRE betrieben, die wiede­rum von der Cybersecurity and Infrastructure Security Agency (CISA) finanziert wird, der im Geschäftsbereich des Washingtoner Heimatschutzministeriums liegenden nationalen Cybersicherheits-Behörde. Wenn eine Schwachstelle entdeckt wird, wird geprüft, ob sie bisher unbekannt ist. Falls ja, wird dafür eine neue CVE-Nummer ver­geben. Wenn der Hersteller ein Software-Update oder eine andere Abhilfemaßnah­me entwickelt hat, veröffentlicht er einen Sicherheitshinweis (security advisory), in dem er sich auf die CVE-Nummer bezieht.

Auf Basis der CVE-Datenbank betreibt die US-amerikanische Standardisierungsbehörde National Institute of Standards and Tech­nology (NIST), die zum Geschäftsbereich des Handelsministeriums gehört, die Natio­nal Vulnerability Database (NVD). Diese Daten­bank verwendet die CVE-Nummern als Grundlage und reichert sie um weitere Informationen an, etwa zur Kritikalität oder zur Grundursache der Schwachstelle. Viele Cybersicherheits-Anwendungen be­ziehen die maschinenlesbaren NVD-Daten und verteilen sie automatisiert an Endnutzer:innen weiter.

Ohne die CVE-Datenbank würde sich das Schließen von Software-Schwachstellen weltweit mutmaßlich verzögern. Bedrohungsakteur:innen könnten dies ausnutzen und mehr Cyberangriffe durchführen. Automatisierte Werkzeuge liefen weniger zuverlässig und würden fehlerhafte Mel­dungen produzieren. Ohne die NVD-Infor­mationen würden zahlreiche Cybersicherheits-Anwendungen ihre Datengrundlage verlieren und Cybersicherheits-Teams auto­matisierte Arbeitsabläufe einbüßen.

Die US-Regierung unterstützt die Sicher­heit von Open-Source-Software. Open-Source-Software (OSS) bildet das Fundament des modernen Software-Ökosystems. Die große Mehrheit aller Software-Anwendun­gen enthält OSS-Komponenten. Wenn ein Software-Produkt eine Komponente verwen­det, die wiederum eine Schwachstelle ent­hält, ist die Chance hoch, dass Letztere auch bei den Endnutzer:innen des Produkts zum Problem werden kann. Somit ist die Sicher­heit kritischer OSS-Komponenten entscheidend für die Sicherheit darauf basierender (offener oder proprietärer) Software-Anwen­dungen.

Einige dieser vielgenutzten Komponenten werden von Einzelpersonen in ihrer Freizeit gepflegt, entsprechend sind ihre Ressourcen für IT-Sicherheit begrenzt. Die US-Regierung füllt teilweise diese Fähigkeitslücke, indem sie die Absicherung von wichtigen OSS-Projekten finanziell fördert. Mittel kommen dabei von der interminis­teriellen Open-Source Software Security Initiative (OS3I), von CISA, der National Science Foundation (NSF, die Grundlagenforschung unterstützt), und der militärischen Forschungsagentur DARPA. Die Regierung in Washington leistet so einen bedeutenden Beitrag zur Absicherung wichtiger OSS-Komponenten.

Cybersicherheits-Abhängigkeiten als Problem: Drei Szenarien

In der Summe ergibt sich ein Bild, in dem kritische Stellen des globalen Cybersicherheits-Ökosystems – Europa eingeschlossen – von den USA abhängig sind. Interdependenzen sind üblich in einer globalisierten Welt, doch mit Blick auf das aktuelle trans­atlantische Verhältnis sind drei Szenarien denkbar, in denen diese Abhängigkeiten zum Problem für Europa werden könnten. Bisher ist keines davon vollständig einge­treten, doch die US-Regierung hat bereits Entscheidungen getroffen, die in Richtung der ersten beiden Szenarien deuten.

Szenario 1: Washington beendet die finan­zielle Unterstützung für Cyber­sicher­heits-Projekte. Ein wahrscheinliches Sze­nario ist, dass die US-Regierung ihre Unter­stützung für Cybersicherheits-Projekte be­endet oder reduziert. Schließlich stehen unter der Trump-Administration und spe­ziell durch das neugeschaffene Department of Government Efficiency (DOGE) alle staat­lichen Ausgaben auf dem Prüfstand, und gerade CISA und die Cybersicherheits-Stellen des US-Außenministeriums haben schon spürbare Kürzungen erfahren.

Ohne die Unterstützung der US-Regie­rung würde es zahlreichen OSS-Projekten an Mitteln fehlen, die sie vor allem zur Absicherung ihrer Produkte und Komponenten einsetzen. Dies würde mittelbar auch alle proprietären Software-Produkte betreffen, die die jeweiligen OSS-Kompo­nenten nutzen. Bereits im März 2025 ging die Trump-Administration einen ersten Schritt in diese Richtung, als sie dem Open Technology Fund (OTF) die Mittel entzog. Der OTF unterstützt diverse OSS-Projekte für sichere Kommunikation und Internetfreiheit, etwa die verschlüsselte Messenger-App Signal. Er ging gerichtlich gegen die Kürzung vor und bekam Recht, bislang ist jedoch unklar, ob die US-Regierung die Zahlungen wieder aufgenommen hat.

Ähnliches trug sich im Fall der CVE-Datenbank zu. Im April informierte MITRE darüber, dass Washington die finanzielle Unterstützung für den Betrieb der Schwach­stellen-Datenbank kurzfristig einstellen werde und MITRE deren Betrieb daher nicht mehr gewährleisten könne. Wohl auch als Reaktion auf den globalen Aufschrei in der Cybersicherheits-Branche ruderte die Trump-Regierung am Folgetag zurück und verkündete, dass die Finanzierung weiter­laufen werde – allerdings nur für elf Monate und in begrenztem Umfang.

In beiden Fällen ist das Cybersicherheits-Ökosystem augenscheinlich noch einmal mit dem Schrecken davongekommen. Doch sollte die US-Regierung ihre finanzielle Unterstützung für Cybersicherheit zurück­fahren, wären die Auswirkungen weltweit – und damit auch in Europa – zu spüren. Schwächere Sicherheitsmaßnahmen in OSS-Projekten und zudem ein enorm erhöhter Koordinationsaufwand beim Finden, Mit­teilen und Schließen von Schwachstellen wären die Folge.

Szenario 2: Die US-Regierung ändert ihre politischen Prioritäten. Denk­bar ist außer­dem, dass die Führung in Washington ihre politischen Prioritäten ändert, indem sie etwa einen noch stärkeren Fokus auf die Rivali­tät mit China legt. Eine Abkehr von Europa und ein Ressourcenabzug weg von russi­schen Be­drohungen wären womög­lich die Folge.

Konkret könnten sich in einem solchen Fall die »hunt forward«-Operationen des Cyber Command von Europa hin zu Staaten im chinesischen Einflussbereich verlagern. Europa würde dann weniger Infor­mationen über russische Cyberaktivitäten erhalten. Ähnliches könnte auch für kommerzielle CTI gelten, da viele Anbie­ter US-amerikani­sche Behörden zu ihrer Kundschaft zählen. Sollten diese keine Informationen über russische Cyberaktivitäten mehr nachfra­gen, würde das Angebot daran sinken – zum Leidwesen europäischer Staaten, die absehbar weiterhin Be­dro­hungsakteur:in­nen mit Verbindungen zur russischen organisierten Kriminalität und/oder dem russischen Staat ausgesetzt sein werden.

Im März 2025 sorgten Berichte für Auf­regung, nach denen ein solches Szenario keine Zukunftsmusik mehr wäre. Wie es hieß, habe US-Verteidigungsminister Pete Hegseth das Cyber Command angewiesen, die Planung von Cyberoperationen gegen Russland auszusetzen. Zudem habe CISA seinem Personal aufgetragen, Informationen über russische Cyberbedrohungen nicht mehr zu verfolgen. Spätere Dementi beider Organisationen stellen die Richtigkeit dieser Berichte in Frage; nichtsdesto­trotz haben die dadurch ausgelösten Dis­kus­sionen illustriert, wie leicht ein solcher Wechsel der politischen Prioritäten voll­zogen werden könnte und welch tiefgreifende Auswirkungen er hätte.

Szenario 3: Die US-Regierung setzt die Abhängigkeiten gezielt gegen Europa ein. Im dritten Szenario setzt Washington die Abhängigkeiten Europas gezielt als Waffe gegen den Kontinent ein, etwa um Zuge­ständnisse auf anderen Politikfeldern wie der Sicherheits- und Verteidigungspolitik zu erzielen – oder im Rahmen einer fun­damentalen Verschlechterung der trans­atlantischen Beziehungen. Dieses Szenario ist weniger wahrscheinlich als die beiden erstgenannten, im Lichte von Auseinandersetzungen der jüngeren Zeit allerdings denkbar.

In einem solchen Fall könnte Washington, zusätzlich zu den unter Szenario 2 ge­nannten Punkten, die marktbeherrschende Stellung von US-amerikanischen Unterneh­men für Cybersicherheits-Anwendungen ausnutzen. So ließen sich diese Sektoren etwa mit Ausfuhrbeschränkungen belegen, um Europas Zugriff auf entsprechende Pro­dukte zu unterbrechen. In der Vergangenheit hatte die US-Regierung beispielsweise den Export von Verschlüsselungssoftware stark begrenzt, und im Oktober kündig­te Präsident Trump Exportkontrollen für »kritische Software« gegenüber China an. Sollte dieses Instrument auch genutzt wer­den, um den Export von Cybersicherheits-Anwendungen nach Europa einzuschränken, müssten sich europäische Nutzer:in­nen kurzfristig umorientieren und blieben vorübergehend ungeschützt.

Handlungsmöglichkeiten für die deutsche und europäische Politik

Entscheidungsträger:innen der europäischen Politik sollten die genannten Abhän­gigkeiten keineswegs als langfristig gegeben hinnehmen. Vielmehr kann sich Europa in vielen Fällen davon befreien, um für die drei skizzierten Szenarien gerüstet zu sein. Und auch wenn diese negativen Zukunftsentwürfe nicht eintreten sollten, würde ein Europa, das mehr Verantwortung für das globale Cybersicherheits-Ökosystem über­nimmt, die Sicherheitslage von Politik, Wirtschaft und Gesellschaft auf dem eige­nen Kontinent und darüber hinaus stärken. Drei Schritte sind dafür entscheidend.

Weitergehende Heraus­forderungen

Aus den genannten Abhängigkeiten könnte sich Europa also befreien. Schwerer hinge­gen wiegt die Tatsache, dass Unternehmen aus den Vereinigten Staaten den Markt für Cybersicherheits-Anwendungen dominieren. Zwar gibt es hier auch kleinere euro­päische Player, doch sorgen Netzwerk­effekte dafür, dass die US-amerikanischen Fir­men ihre beherrschende Position vor­aussichtlich behalten werden. Das könnte Europa sowohl im Fall veränderter politi­scher Prioritäten in Washington zu spüren bekommen als auch bei dem Szenario, dass die US-Regierung diese Abhängigkeit gezielt gegen den Kontinent einsetzt. Gefragt sind hier langfristige Schritte wie die Förderung von OSS und die Unterstützung eines Tech-Ökosystems in Europa.

Gleichzeitig können aus dieser Abhängigkeit jedoch auch andere Hebel erwachsen. So sollten europäische Entscheidungsträger:innen prüfen, wann es sich hierbei um eine wechselseitige Dependenz handelt. So sind etwa große CTI-Anbieter durchaus darauf angewiesen, über ihre Kundschaft Daten zu globalen Cyberbedrohungen zu erhalten. Im Szenario eines Konflikts hätte Europa also zusätzliche Instrumente zur Hand, etwa Marktzugangsbeschränkungen.

Zudem stehen Deutschland und Europa vor weiteren Herausforderungen. Erstens ist die starke Abhängigkeit von US-Unterneh­men nicht nur in den drei genannten Sze­narien problematisch, sondern auch dann, wenn entsprechende Firmen vom Markt verschwinden (etwa weil sie Konkurs an­melden). Mit dieser Möglichkeit sollten sich europäische Entscheider:innen und Anwen­der:innen ebenfalls beschäftigen.

Und auch wenn die Debatte um Abhängigkeiten von den USA derzeit Konjunktur hat, so bestehen – zweitens – weiterhin immense Abhängigkeiten von China, die als noch problematischer gelten als jene von den Vereinigten Staaten, etwa im Bereich seltener Erden für die Halbleiterproduktion. Verbunden damit ist drittens die Frage, wem sich Europa zuwenden möchte, wenn es sich von den USA abwendet, solange ein »EuroStack« noch Zukunftsmusik ist. Wenn etwa Software-Anbieter aus China und Russland nicht in Frage kommen, bleiben neben europäischen Herstellern vor allem solche aus Israel, Kanada, Australien und dem asiatischen Raum.

Gleichzeitig lehrt die Erfahrung, dass der Abbau solcher Abhängigkeiten politische Entschlossenheit, Ressourcen und Zeit er­fordert. Und selbst wenn dies gegeben ist, wird das Ziel nicht immer erreicht, wie der Fall chinesischer Netzwerkinfrastruktur-Technologie zeigt. Politische Entscheidungs­träger:innen in Berlin und Brüssel sollten die genannten Empfehlungen daher zügig angehen, um die eigene Handlungsfähigkeit langfristig sicherzustellen.