Das Janus-Prinzip: Fünf zentrale Reformansätze für die europäische Cybersicherheitspolitik

Die strategischen Herausforderer

Kontinuierliche Auswertungen, wie sie das European Repository of Cyber Incidents (EuRepoC) über einen Zeitraum von nahezu 25 Jahren ermöglicht, stellen für ein (öffent­lich zugängliches) Lagebild der europäischen Cybersicherheit eine wichtige Grund­lage bereit. In diesen Langzeitbeobach­tungen zeichnet sich eine anhaltend hohe Aktivität von Seiten eines Clusters von autoritären Staaten ab. Knapp drei Viertel der seit 2000 öffentlich berichteten Cyber­operationen mit staatlichem Hintergrund sind nach EuRepoC-Daten auf vier Länder zurückzuführen – China, Iran, Nordkorea und Russland. Gleichzeitig belegen Daten des Repositorys für diese Zeitspanne eine Erweiterung des Akteursfelds. Staatliche Gruppen sind demnach für weniger als ein Drittel der Cyberoperationen mit politischer Tragweite verantwortlich. Eine Auswertung der einzelnen Operationen zeigt allerdings, dass diese Trennung nach Akteurstypen ge­rade für Aktivitäten mit Ursprung in auto­ritären Staaten weit weniger statisch ist. Der Konstante eines Clusters autoritärer Staaten als Bedrohungs­quelle steht eine Dynamisierung des Verhältnisses zwischen staatlichen und nichtstaatlichen Akteuren gegenüber, welche die Grenzen zwischen diesen Grup­pen zunehmend verschwimmen lässt.

Insbesondere Russland und China haben gezielt hybride Strukturen entwickelt, in denen staatliche und nichtstaatliche Ak­teure – etwa kriminelle Gruppen oder pri­vate Hacker-Dienstleister – eng mit­einan­der verzahnt vorgehen. Kriminelle Grup­pen, die in Russland ein Rückzugsgebiet gefunden haben und von dort gegen aus­ländische Ziele straffrei agieren können, werden im Gegenzug von russischen Dien­sten in staatlich gesteuerte Operationen ein­bezogen. In China hat sich unter Führung des Ministeriums für Staatliche Sicherheit ein verzweigtes Netzwerk kommerzieller Dienstleister ausgebildet. Im staatlichen Auf­trag spähen diese Firmen Schwachstellen aus und erschließen Zugänge zu Hochwert­zielen im Ausland. Über die Einbindung solcher Proxy-Gruppen ohne vermeint­lichen Staatsbezug versuchen Staaten, die Aufklärung ihrer Cyberaktivitäten zu be­hindern und die dahinterstehenden Ab­sichten zu verschleiern. Hinter dieser Kulisse starten sie gezielte Angriffe auf kritische Infrastrukturen, politische Insti­tutionen oder zivilgesellschaftliche Akteure in der EU. Zu beobachten ist eine strategisch bewusst angelegte Integration nichtstaat­licher Ressourcen in staatliche Planungs- und Kommandostrukturen. Diese Vor­gehensweise erschwert die politische Attri­bution, unterminiert internationale Normen und setzt die Resilienz offener Gesellschaften permanent unter Druck.

Die EU Cyber Posture: Ungenutzte Synergiepotentiale

Gerade Europa steht vor der besonderen Her­ausforderung, die von der Vielschichtigkeit dieser Hybrid­modelle autoritärer Staaten ausgeht. Die EU hat dafür eine Vielzahl an Cybersicherheitsinstrumenten kreiert, darunter die Cyber Diplomacy Tool­box (CDT), das horizontale Cybersanktions­regime, militärische Reaktionsmechanismen im Rahmen von PESCO und regulatorische Initiativen zur Stärkung der Produkt­sicherheit wie die Cyberresilienz-Verord­nung. Der neue EU Cyber Blueprint vom Juni 2025 ergänzt und integriert bestehende Initia­tiven wie:

• die NIS2‑Richtlinie,

• den Cyber Solidarity Act,

• den Integrated-Political-Crisis-Response-Mechanismus,

• die Cyber Diplomacy Toolbox,

• sektorspezifische Vorschriften (z. B. zum Schutz der grenzübergreifenden Stromversorgung).

Diese hier nur kursorisch aufgelisteten EU-Instrumente spiegeln das breite sicher­heits- und technologiepolitische Spektrum Europas wider. Zahlreiche Analysen haben aufgezeigt, dass die Wirkung der EU-Cyber­sicherheitspolitik durch fragmentierte Zu­ständig­keiten und sektorale Abschottung begrenzt bleibt. Auch ist vielfach darauf hingewiesen worden, dass durch die feh­lende strategische Ver­knüpfung Synergiepotentiale ungenutzt bleiben, die durch eine stärkere Verzahnung von Kommissions- und Ratsinitiativen durchaus erschlossen werden könnten. Im Sinne des Janusblicks sind aber gerade die konstruktiven Ele­mente der EU-Cybersicherheitspolitik in den Blick zu nehmen.

Grundsätzlich legt die Cyber Posture vom Mai 2022 die Aufgaben der EU richtigerweise breit an, indem sie fünf Arbeits­bereiche definiert: Stärkung der Widerstandsfähigkeit und der eigenen Schutz­kapazitäten; Stärkung der Solidarität und Verbesserung des umfassenden Krisen­managements; internationale cyberpolitische Positionierung der EU; Intensivierung der Zusammenarbeit mit Partnerländern und internationalen Organisationen; und Prävention, Abwehr und Reaktion auf Cyber­angriffe. Der Aufbau und die Ausrichtung dieser Cyber Posture unterstreicht auch den spezifischen kollektiven Beitrag von EU-Institutionen und -Akteuren bei der Koordi­nation, die ein gemeinsames Vorgehen in der europäischen Cybersicherheitspolitik überhaupt erst ermöglicht. Diese vielfach unterschätzten Koordinationsbemühungen erstrecken sich über mehrere Ebenen. Im November 2024 verständigten sich die Mit­gliedstaaten auf eine gemeinsame Erklärung zur Anwen­dung des Völkerrechts im Cyber­raum, an der sich auch andere Drittstaaten außerhalb der EU orientieren. Der im Juni 2025 angenommene Cyber Blueprint zur Verbesserung des Cyberkrisenmanagements regelt die Verantwortlichkeiten zwischen Akteuren auf Unionsebene. Auch dieses Konzept dient insbesondere anderen Regionalorganisationen als Vorbild. Die Einbindung der Ukraine in Überlegungen, wie sich die CDT noch wirkungsvoller zur Abschreckung von Cyber­angriffen ein­setzen lässt, verdeutlicht nicht zuletzt, wie intensiv sich die EU um die Abstimmung mit internationalen Partnern bemüht. Auch die EU-Initiativen zur horizontalen, verti­kalen und drittstaatsorientierten Kohärenzsteigerung ihrer Cybersicherheitspolitik sind Beleg für den Ansatz, Sorgfaltspflichten und das internationale Recht zu stärken. Als normativer Ausgangspunkt der EU-Cyber­sicherheitspolitik kommt ihnen darüber hinaus eine zentrale Bedeutung zu.

Sorgfaltsverantwortung als Ausgangspunkt

Angesichts der systematischen Offensive autoritärer Akteure im CIR hat die EU vor allem Maßnahmen ergriffen, um ihren eige­nen cybersicherheitspolitischen Sorg­faltspflichten nachzukommen. Die EU will im CIR auf internationaler Ebene eine regel­basierte Strategie verfolgen, die auf der Ach­tung des Völkerrechts und der UN-Normen basiert und von vertrauens- und sicherheits­bildendem Handeln begleitet ist. Diese Hal­tung soll Erwartungsverlässlichkeit erzeu­gen und wird durch zentrale Dokumente und Instrumente wie die EU Cyber Posture (2022), die überarbeitete Cyber Diplomacy Toolbox (2023), den Strategischen Kompass, die Mitteilung zur Cyber­verteidigung (2024) und die Erklärung zur Anwendung des Völkerrechts im Cyberraum (2024) bekräf­tigt. Diese Dokumente betonen die Geltung humanitärer und internationaler Normen, die Bedeutung normsetzender Diplomatie und die Ver­pflichtung der EU zu verantwortungsvollem staatlichem Handeln im digitalen Raum. Im Zentrum des diploma­tischen Reaktionsrahmens der EU steht die überarbeitete Cyber Diplomacy Toolbox (CDT) mit ihren bisher vier verabschiedeten Sanktionspaketen.

Daneben gibt es, wie bereits weiter oben aufgelistet, eine Vielzahl von verbindlichen Rechtsakten der EU-Kommission, die vor allem seit 2022 erlassen wurden. Verbun­den sind sie durch das übergeordnete Ziel, die Resilienz innerhalb des Binnenmarkts zu steigern. Durch Vorgaben für Hard- und Software, für die Netzwerkinfrastruktur und durch die Festschreibung internationaler Verpflichtungen aus der Grundrechtecharta und dem internationalen Recht werden alle Marktteilnehmer im Binnenmarkt damit mittelbar an euro­päische Normen und Standards gebunden.

Der Cyberkapazitätsaufbau über die EU hinaus findet häufig im Rahmen der Ge­mein­samen Sicherheits- und Verteidigungs­politik (GSVP) statt, vor allem über zivile Ausbildungsmissionen (z. B. EUAM Ukraine, EUCAP Sahel). Diese Missionen bieten An­knüpfungspunkte zur normen­gebundenen Cyberdiplomatie, etwa durch die Vermittlung europäischen Rechts oder technischer Schutzmaßnahmen, zum Teil über private IT-Sicherheitsanbieter. Jedoch ist das Poten­tial solcher Missionen als Beitrag zur gesamt­strategischen Cybersicherheitsarchitektur der EU bislang kaum genutzt worden.

Während der regulatorische Anspruch der EU weltweit Beachtung findet, wird ihre Fähigkeit, Cyberbedrohungen abzuwehren, von einer Reihe von Defiziten beschränkt, unter denen vor allem zu nennen wären: fehlende horizontale Strategiekohärenz, die einseitige Fokussierung auf die Attribution, Schwächen bei der Anschlussfähigkeit zur aktiven Kooperation mit anderen Partnern, ein Mangel an EU-interner vertikaler Ko­härenz und die starre Trennung zwischen zivil und militärischer Zusammenarbeit. Reformansätze sollten stärker nach den Konfliktstrukturen unterscheiden, weniger auf die Attribution und Sanktionen ab­heben und auf die Verbesserung der inter­nationalen Anschlussfähigkeit durch öffent­lich-private Partnerschaften sowie eine Ver­tiefung der zivil-militärischen Kooperation abzielen.

Von der koordinierenden zur integrativen Rolle der EU

Die genannten Reformansätze versprechen erhebliche Synergiepotentiale, die allerdings von einem weiteren Schritt in dieser Koordinationskette abhängen: dem gemein­samen Einsatz der einzelnen Instru­mente, Initiativen und Mechanismen sei­tens der Mitgliedstaaten, der EU-Kommis­sion und des Rates. Über einen solchen integrierten Ansatz können die Bemühungen auf Ebene der Mitgliedstaaten, der EU-Akteure und internationalen Partnern zusammengeführt werden.

Der Beitrag des EU-Reaktionsrahmens zur Eindämmung von Cyberbedrohungen bemisst sich eben nicht an den getroffenen Maßnahmen, sondern danach, wie effektiv sie sind, um die Cybersicherheit der EU zu erhöhen.

Die Einführung einer übergeordneten Ebene zur Koordination der fünf Arbeits­bereiche der EU Cyber Posture würde sicher­stellen, dass einzelne Instrumente nicht in Silos gebunden werden, sondern durch ihren strategisch vernetzten Einsatz Syner­gien freisetzen können, die ihre Durch­schlagskraft weiter steigern.

In den überarbeiteten Leitlinien zur Anwendung der CDT wird die Wirkungs­verstärkung von solchen Koordinations­leistungen explizit als eine Lehre aus dem Einsatz der Toolbox erwähnt. So bekräftigen die Leitlinien ausdrücklich den Anspruch, einen »nachhaltigen, auf die Bedrohung abgestimmten, kohärenten und koordinierten« Ansatz zu verfolgen. Eine Strategie zur Wirkungsverstärkung, die dem Janus-Prinzip folgend den zunehmend vernetzten Sicherheitsherausforderungen die Verbund­effekte vorhandener Instrumente entgegensetzt, schafft dafür die Voraussetzung. Ge­rade angesichts der massiven Bedrohungslage, die sich aus der Vereinnahmung nichtstaatlicher Fähigkeiten durch auto­ritäre Akteure ergibt, liegt in der Koordination und Integration von bestehenden In­strumenten ein spezifischer Mehrwert der EU als cybersicherheitspolitischer Akteur: Mit institutioneller Kohärenz, normativer Klarheit und operativer Anschlussfähigkeit sollten die Mitgliedstaaten nicht nur auf die koor­dinierende Rolle der EU, sondern auf deren integratives Potential setzen, um die strategische Handlungsfähigkeit und Ab­wehrfähigkeit von Bedrohungen im Cyber­raum zu erhöhen. Entlang der Wirkungs­felder der EU Cyber Posture sollten die Reforminitiativen dezidiert dazu beitragen, dass die EU-Cybersicherheitspolitik im Sinne der Sorgfaltsverantwortung den stra­tegischen Herausforderern im Cyber- und Informationsraum eine kollektive Antwort entgegenzusetzen vermag.