Cyberbedrohungen in Zeiten des Konflikts

Das Bild von mächtigen Nationen, die in Konflikten mit ihrem Cyberarsenal die Infrastruktur, die militärischen Ressourcen oder die Wirtschaft ihrer Gegner mattsetzen oder stören, stammen zum Großteil aus Zukunftsvisionen und Hollywoodfilmen – bisher zumindest. Der Krieg zwischen Russland und der Ukraine, der US-Einsatz in Venezuela und die Angriffe der USA und Israels auf den Iran in jüngster Vergangenheit haben einen Einblick in die Realität offensiver Cyberoperationen gegeben.

Wie auch bei herkömmlicher Kriegsführung erfordern durchdachte Cyberangriffe Jahre der Planung und Vorbereitung, wobei sie oftmals lange Zeit unerkannt im Hintergrund bereitstehen, bis sie benötigt werden. Sie erfordern viel Zeit und Angriffstechniken, die nicht unendlich nutzbar sind, denn einmal erkannt, können die Verteidiger den Vorfall analysieren, eine Wiederherstellung einleiten und Schutzmaßnahmen vor ähnlichen Angriffen ergreifen.

Meilenstein Stuxnet

2010 kamen die offensiven Möglichkeiten erstmals ans Licht, als über eine erfolgreiche Operation der USA und Israels berichtet wurde. Dabei war eine Malware eingesetzt worden, um air-gapped Zentrifugen des Irans anzugreifen, die im Rahmen des staatlichen Atomprogramms zur Urananreicherung genutzt werden. Stuxnet gilt als erste Cyberwaffe, mit der aktiv eine Industrieanlage angegriffen und sabotiert wurde.

Spätestens mit Beginn des Russland-Ukraine-Konflikts 2014 begann Russland damit, seine technischen Ressourcen einzusetzen, um ukrainische Systeme auf Schwächen zu testen oder zu stören. Das 2019 erschienene Buch „Operation Sandworm“ von Andy Greenberg dokumentiert die auf die Ukraine abzielenden Cyberoperationen des Putin-Regimes, wie den 2015 erfolgten Angriff auf das ukrainische Stromversorgungssystem. Greenbergs Ausführungen, wie NotPetya (ein auf die Sabotage von Systemen ausgelegter Lieferkettenangriff) über den Konflikt hinaus auch Kollateralschäden in Milliardenhöhe bei Firmen wie Maersk, Merck und FedEx verursachte, machen zudem die weitreichenden Folgen eines Cyberkriegs deutlich.

Cyberangriffe sind insbesondere über die vergangen vier Jahre zu einem festen Bestandteil des Russland-Ukraine-Kriegs geworden. Die Verteidigungsmaßnahmen halten im Großen und Ganzen stand, weshalb es bisher auf keiner der beiden Seiten zu einem finalen Schlag kam. Russland setzt weiter auf kinetische Waffen, um die ukrainische Energieversorgung anzugreifen, was die Tatsache unterstreicht, dass es allein mit Cyberangriffen nicht gelungen ist, das Netz zu stören.

Die Ukraine hat sich derweil umfangreiches Fachwissen beim Einsatz von Drohnen und elektronischem Kampfgerät angeeignet, während auf beiden Seiten unbemannte Systeme, elektronische Störgeräte und ähnliche Technologien genutzt werden, um Ziele zu finden, zu stören und anzugreifen. Der Krieg ist zu einem wichtigen Versuchslabor für digitale ebenso wie physische Technologien in der modernen Kampfführung geworden.

Kurz nachdem die USA am 3. Januar 2026 ihre Operation „Absolute Resolve“ in Venezuela durchgeführt hat, kamen Meldungen auf, dass mithilfe einiger erstaunlich gut koordinierter und präziser Cyberangriffe Teile des Stromnetzes von Caracas stillgelegt worden waren, um den US-Truppen Deckung zu geben. Dr. Louise Marie Hurel vom britischen Forschungsinstitut RUSI merkt jedoch an, dass der taktische Nutzen von Cybermaßnahmen in kinetischen Operationen häufig überbewertet wird. Tatsächlich geht Cynthia Brumfield in einem CyberScoop-Artikel davon aus, dass die venezolanischen Stromausfälle hauptsächlich auf kinetische Angriffe auf ein marodes Netz zurückzuführen sind, als auf die eingangs gemeldeten Cyberoperationen der USA.

All diese Beispiele zeigen, dass auch in Zeiten von Cyberkonflikten Kriegsteilnehmer dazu neigen, ihre eigenen Fertigkeiten zu überspitzen, um ihre Gegner einzuschüchtern und zu demoralisieren. Im Nebel des Kriegs kann es dann schwierig werden, Fakt und Fiktion zu unterscheiden.

Iran übt sich in Cybervergeltung

Sofort nach den Angriffen der USA und Israels auf den Iran am 28. Februar 2026 wurden Warnungen über signifikante Vergeltungsangriffe durch den Iran und sympathisierende Gruppen laut. Eine Eskalation mit Russland und China, die ihrem Verbündeten Iran zu Hilfe kommen, war definitiv eine Möglichkeit.

In den Folgemonaten hat sich dann deutlicher abgezeichnet, wie die iranische Cybervergeltung tatsächlich aussieht. Statt eines großen katastrophalen Angriffs, der den Verlauf des Konflikts hätte ändern können, haben mit dem Iran verbundene Gruppen eine Reihe von Sabotageaktionen gegen Unternehmen und Infrastruktur durchgeführt und damit gezeigt, wie Cyberoperationen einen herkömmlichen Konflikt über das eigentliche Schlachtfeld hinaus tragen können.

Eines der bekanntesten Beispiele dafür dürfte der Cyberangriff auf Stryker, einem US-Unternehmen für Medizintechnik, am 11. März 2026 sein. Das Unternehmen meldete eine weltweite Störung seiner Microsoft-Umgebung, was zu Unterbrechungen bei Auftragsabwicklung, Herstellung und Vertrieb führte. Stryker berichtete später, dass der Angriff abgewehrt sei und keine Patientendienste oder damit verbundene Medizinprodukte beeinträchtigt worden wären. Die Iran-nahe Hackergruppe Handala erklärte sich für den Angriff verantwortlich.

Ende März identifizierte Unit 42 von Palo Alto Networks Aktivitäten, die auf die FactoryTalk-Software von Rockwell Automation und verbundene Betriebsgeräte abzielten. Die Cybersecurity and Infrastructure Security Agency der USA warnte daraufhin davor, dass Iran-nahe Akteure mit dem Internet verbundene Betriebsgeräte wie speicherprogrammierbare Steuerungen anvisieren, die in kritischer US-Infrastruktur eingesetzt werden.

Die Lektion

Die Ereignisse von 2026 deuten darauf hin, dass Cyberkonflikte nicht zwangsläufig das „nächste Schlachtfeld“, sondern eher ein standardmäßiger Bestandteil moderner Kriegsführung werden. Ausschlaggebend werden keine spektakulären Cyberwaffen im Alleingang sein, sondern kontinuierliche Operationen, um herkömmliche Angriffsmethoden zu ergänzen, Wirtschaft und Infrastruktur zu stören, Informationen zu sammeln, Unsicherheit zu erzeugen und Verteidiger dazu zu zwingen, Ressourcen für Gegenmaßnahmen einzusetzen.

Für Unternehmen bedeutet das bei der Beurteilung ihres Cyberrisikos auch, dass es unwichtig ist, ob ein Land offiziell im Krieg ist oder nicht. Cyberoperationen können davor, währenddessen und in Kombination mit militärischen Aktionen erfolgen sowie aufgrund multinationaler Firmenkonzepte, Cloudinfrastrukturen und globaler Lieferketten grenzübergreifende Auswirkungen haben.

Sowohl bei der Ukraine als auch beim Iran kann also nicht kategorisch nach Cyberkriegsführung oder nicht unterschieden werden, sondern es ist eine differenzierte Perspektive erforderlich. Cyberangriffe sind zwar zu einem integralen Bestandteil moderner Konflikte geworden, haben eine herkömmliche Kriegsführung jedoch nicht verdrängt. Die Lektion lautet also auch bei der Bewertung von Cyberrisiken: Man sollte auf das Beste hoffen, aber auf das Schlimmste gefasst sein.