Cyberwar: Experten halten Stuxnet-Einsatz für Gewaltanwendung

Besuch des iranischen Präsidenten Mahmud Ahmadinedschad in Natanz (2008): schwerwiegend genug für bewaffneten Angriff? (Bild: Office of the Presidency of the Islamic Republic of Iran via Getty Images)

Die Schadsoftware Stuxnet gegen iranische Atomanlagen einzusetzen, war für die Autoren des Tallinn Manual ein Akt der Gewalt und damit ein Verstoß gegen das Völkerrecht. Ein US-Experte hält das für falsch.

Der Einsatz der Malware Stuxnet gegen iranische Atomanlagen war ein kriegerischer Akt und damit ein Verstoß gegen das Völkerrecht. Zu dem Ergebnis kommt eine internationale Gruppe aus 20 Experten, die im Auftrag einer Nato-Dienststelle eine Studie über Cyberwar erstellt hat.

Das rund 300 Seiten dicke Tallinn Manual on the International Law Applicable to Cyber Warfare, kurz Tallinn Manual, wurde vom Cooperative Cyber Defence Centre of Excellence (CCDCOE) der Nato in Auftrag gegeben. Das CCDCOE hat seinen Sitz in der estnischen Hauptstadt Tallinn - daher der Name Tallinn Manual. Es kann von der CCDCOE-Website kostenlos heruntergeladen werden.

Gewalt gegen Zentrifugen

"Akte, die Menschen töten oder verletzen oder Objekte zerstören oder beschädigen, sind eindeutig Gewaltanwendung", heißt es in der Studie. Die Schadsoftware Stuxnet hatte die Zentrifugen in der iranischen Atomanlage Natanz, die bei der Urananreicherung eingesetzt werden, zerstört. Die Schadsoftware wurde mutmaßlich in den USA und Israel programmiert und war Teil eines Cyberangriffs auf den Iran. Keiner der beiden Staaten hat eine Beteiligung an Stuxnet zugegeben.

Alle Autoren seien der Ansicht gewesen, dass der Stuxnet-Einsatz einen Gewaltakt darstelle, sagte Michael Schmitt der konservativen Tageszeitung Washington Times. Schmitt ist Völkerrechtler am US Naval War College in Newport im US-Bundesstaat Rhode Island und Hauptautor der Studie.

Allerdings seien sie sich nicht einig darüber gewesen, ob die Folgen schwerwiegend genug waren, um die Cyberattacke als bewaffneten Angriff zu werten. In diesem Falle dürfte der Iran seinerseits Gewalt zu seiner Verteidigung anwenden.

Kein Akt der Gewalt

James Lewis vom Center for Strategic and International Studies, einem in der US-Hauptstadt Washington ansässigen Thinktank, widerspricht den Autoren des Tallinn Manual: "Ein Cyberangriff wird in der Regel kein Akt der Gewalt sein", sagte er dem US-Technologiemagazin Wired. Deshalb habe Estland bei der großangelegten DDoS-Attacke aus Russland im Jahr 2007 auch nicht die Nato-Verbündeten um Hilfe angerufen.

Lewis hält die Schlüsse der Studie ohnehin für vorschnell. Er rät zur Zurückhaltung: Es habe noch zu wenige Cyberzwischenfälle gegeben, um eine stichhaltige rechtliche Bewertung abzugeben.

Hilfsmittel und Lehrbuch

An dem Tallinn Manual hat eine Gruppe aus 20 Experten, darunter auch Juristen der Nato, mitgearbeitet. Unterstützt wurden sie von Experten aus dem Bereich Cybersicherheit. Das Tallinn Manual sei kein offizielles Dokument, sondern spiegele die Meinung der Autoren wider, betont das CCDCOE. Die Autoren betrachteten es "als Hilfsmittel für die Rechtsberater von Regierungen und dem Militär, beinahe als ein Lehrbuch", erklärte Schmitt. Es solle Ausgangspunkt für eine Diskussion über Regeln im Cyberkrieg sein.

Das Tallinn Manual schlägt unter anderem vor, zivile Hacker im Krieg wie Kombattanten zu behandeln. Das würde bedeuten, sie könnten physisch angegriffen und getötet werden.