Die US-Regierung will einen historischen Kurswechsel einleiten: Erstmals sollen geprüfte Privatunternehmen offensive Cyberangriffe gegen internationale Kriminelle und Hacker durchführen dürfen. Das kündigte die Weiße Hausverwaltung in einem neu veröffentlichten Präsidialmemorandum an.
Im Kern geht es darum, staatliche Stellen im Kampf gegen Cyberkriminalität stärker mit Fähigkeiten aus der Privatwirtschaft zu ergänzen. Dazu zählen laut Memorandum sowohl Überwachungsansätze als auch störende Maßnahmen, die auf das Zerstören von Daten oder Systemen bei Tätern abzielen können.
Was das Memorandum an Offensive Cyberangriffe ermöglicht
Die neue Regelung soll es teilnehmenden Unternehmen erlauben, aktive, offensive Operationen durchzuführen. Dazu gehören Maßnahmen zur Sammlung von Informationen, etwa in Form von Spyware. Zusätzlich sind disruptive Angriffe vorgesehen, die darauf abzielen, die Daten oder IT-Systeme von Kriminellen zu beschädigen oder außer Kraft zu setzen.
Damit reagiert die US-Regierung auf Bedrohungen, die insbesondere Amerikaner und Unternehmen treffen können. Als Beispiele werden im Memorandum unter anderem Ransomware-Angriffe, finanzielle Betrugsmaschen und Sextortion genannt.
Wichtig ist: Die Teilnahme ist nicht allgemein, sondern an ein Programm gekoppelt, an dem nur Firmen mit entsprechender Prüfung und Einhaltung der Regeln teilnehmen sollen.
Seismischer Wandel im rechtlichen Rahmen
Der Schritt gilt als deutliche Abkehr von der bisherigen US-Position. Nach den in den USA geltenden Bestimmungen zu Computer-Hacking ist es Privatunternehmen grundsätzlich untersagt, Cyberangriffe oder Störaktionen ohne eine gerichtlich genehmigte Freigabe auszuführen.
Bisher wurde laut Darstellung in mehreren Verwaltungsepochen vor allem eine Trennung betont: Die Privatwirtschaft soll eingehende Angriffe abwehren und verteidigen, aber keine eigenen Operationen gegen Ziele starten oder betreiben dürfen.
Mit dem Präsidialmemorandum wird nun ein neues Vorgehensmodell in Aussicht gestellt, das staatliche Stellen ausdrücklich von den bisherigen Grenzen her betrachtet und private Fähigkeiten systematisch einbindet.
Wie das Programm starten soll: frühe Phase und neue Leitlinien
Auch wenn das Memorandum den politischen Rahmen festlegt, befindet sich das Vorhaben laut Bericht noch in einer frühen Phase. Konkrete operative Details sollen erst folgen.
Die Regierung will innerhalb der nächsten zwei Monate Leitlinien veröffentlichen. Diese sollen klären, welche Voraussetzungen Firmen erfüllen müssen, bevor sie offiziell in das Programm aufgenommen werden.
Dabei ist ausdrücklich vorgesehen, dass Unternehmen unterschiedlicher Größe berücksichtigt werden. Das Memorandum deutet darauf hin, dass kleinere Firmen für bestimmte spezialisierte Aufgaben sogar besonders geeignet sein könnten.
Kontrolle durch Behörden: Freigaben und Aufsicht
Die Teilnahme bedeutet nicht, dass Unternehmen auf eigene Faust handeln. Laut Vorgaben erfordert jede Operation vor der Genehmigung Zustimmung, unter anderem durch Vertreter des Justizministeriums und des Heimatschutzministeriums.
Darüber hinaus sollen die Einsätze ausschließlich unter Aufsicht durch die Bundesregierung erfolgen. Damit soll sichergestellt werden, dass die Durchführung an staatliche Prozesse und Verantwortlichkeiten gebunden bleibt.
Das Memorandum adressiert außerdem ein Ziel, das für die praktische Umsetzung entscheidend ist: Es sollen Verfahren geschaffen werden, die verhindern, dass Operationen Amerikaner oder in den USA ansässige Systeme als Ziel auswählen.
Finanzielles Risiko: 1 Million US-Dollar im Escrow
Ein besonders klarer Bestandteil des neuen Programms ist die finanzielle Absicherung. Teilnehmende Unternehmen müssen demnach 1 Million US-Dollar auf ein Treuhandkonto (Escrow) einzahlen.
Falls die Regierung feststellt, dass ein Unternehmen gegen die Regeln zur Durchführung der Operationen verstößt, kann diese Summe verfallen.
So sollen Anreize geschaffen werden, sich an die festgelegten Grenzen und Pflichten zu halten, insbesondere bei sensiblen Maßnahmen wie Überwachung oder disruptiven Eingriffen.
Pflicht zur Meldung drohender Angriffe auf kritische Infrastruktur
Das Memorandum enthält außerdem eine Meldepflicht: Wenn ein teilnehmendes Unternehmen eine unmittelbar bevorstehende Cyberattacke auf kritische US-Infrastruktur entdeckt, muss es die Regierung informieren.
Genannt werden beispielhaft Versorgungsbereiche wie Stromnetze oder Wasseranbieter. In der Praxis zielt diese Vorschrift darauf ab, dass private Einsätze nicht zu einer Informationsabschottung führen, sondern im Notfall in staatliche Schutzmaßnahmen einfließen.
Kein „Hack back“ – und dennoch ein Konfliktpotenzial
Obwohl die neue Politik offensive Aktionen ermöglicht, geht sie laut Bericht nicht so weit, Firmen ein automatisches „Hack back“ gegen Bedrohungen zu erlauben. Diese Differenz ist wichtig, weil sie den politischen und rechtlichen Rahmen enger zieht als von manchen befürchtet.
Gleichzeitig bleibt die Debatte kontrovers. Kritiker befürchten, dass die Beteiligung der Privatindustrie an staatlichen Hacking-Operationen diplomatische oder internationale Folgen nach sich ziehen könnte. Hintergrund ist, dass eine ausländische Regierung im Zweifel eine Attacke auf ihr Territorium oder ihre Akteure möglicherweise einer US-Firma zuschreibt.
Das Thema hat damit auch eine völkerrechtliche und kommunikative Dimension: Selbst wenn die Absicht defensiv oder kriminalitätsbekämpfend ist, kann die Wirkung aus außenpolitischer Sicht unterschiedlich interpretiert werden.
Risiken für Betroffene: mögliche Strafverfolgung im Ausland
Ein Cybersecurity-Veteran äußerte im Bericht Sorgen, dass US-Bürger, die bei privaten Sicherheitsfirmen arbeiten und an solchen Einsätzen beteiligt sind, im Ausland ein erhöhtes Risiko tragen könnten. Die Befürchtung: Sie könnten als „nicht uniformierte Kombattanten“ eingestuft werden, wenn es zu Konflikten oder Festnahmen kommt.
Der Experte stellt außerdem die Schwierigkeit heraus, dass Vorwürfe über eine Beteiligung auch dann entstehen könnten, wenn sie nicht der Wahrheit entsprechen. In einem solchen Szenario könnte allein die Existenz der neuen Policy als Ansatzpunkt für Behauptungen dienen.
Die Sorge wird mit Beispielen aus der Vergangenheit unterfüttert, in denen US-Staatsanwälte Hacker aus China, dem Iran und Russland wegen Cyberverbrechen angeklagt hatten, die auf die USA gerichtet waren.
Warum der Schritt jetzt kommt: wachsende Bedrohungslage
Als Begründung liefert die US-Regierung im Memorandum vor allem einen allgemeinen Hinweis: Es gebe eine „wachsende Bedrohung“ für Amerikaner und Unternehmen.
Zudem steht die Cyberabwehr im Land offenbar unter Druck, unter anderem wegen Einschnitten und Personalabbau im Bundesbereich seit dem Beginn der zweiten Amtszeit von Trump im Januar 2025.
Parallel melden mehrere US-Bundesstaaten Cyberangriffe auf die Wasserinfrastruktur. Laut dem Bericht werden diese Vorgänge von US-Intelligenzbehörden vertraulich iran-nahen Akteuren zugeschrieben, ohne dass bisher formelle Warnungen zur Wassersicherheit notwendig wurden.
Die internationale Lage spielt ebenfalls hinein: Der Bericht ordnet den Schritt in ein Umfeld ein, das durch eine langwierige Kriegsdynamik zwischen den USA, Israel und dem Iran geprägt ist. In diesem Kontext werden auch Cyberangriffe erwähnt, die US-Geschäfte sowie kritische Infrastruktur aktiv beeinträchtigen.
AI-getriebene Angriffe als zusätzlicher Belastungstest
Das Memorandum erscheint zudem in einer Zeit, in der Regierungen und Unternehmen vermehrt mit autonomen, KI-gestützten Cyberangriffen konfrontiert sind. Der Bericht verweist darauf, dass mehrere Organisationen über Vorfälle bzw. Tests berichtet haben, bei denen KI-Modelle technische Schutzbarrieren durchbrochen haben, um Angriffe zu starten.
Das macht deutlich: Das Problemfeld verändert sich schnell, und klassische Abwehr allein reicht vielen Akteuren offenbar nicht mehr als Strategie.
Ausblick: Leitlinien, Prüfungen und mögliche Klagen
Ob die neuen Regelungen tatsächlich reibungslos umgesetzt werden, ist unklar. Der Bericht nennt als wahrscheinliche Hürde sowohl rechtliche Auseinandersetzungen als auch Widerstand durch Kritiker. Diese argumentieren seit Jahren, dass private Unternehmen nicht in staatliche Hacking-Operationen einbezogen werden sollten.
Die nächsten Schritte liegen damit vor allem bei den angekündigten Leitlinien, die in den kommenden zwei Monaten veröffentlicht werden sollen. Erst dann wird sich zeigen, wie genau die Auswahl erfolgt, welche Pflichten gelten und wie die Aufsicht im Alltag praktisch funktioniert.
Bis dahin bleibt festzuhalten: Die geplanten Offensive Cyberangriffe markieren für die USA einen grundlegenden Richtungswechsel. Sie könnten die Fähigkeiten im Kampf gegen Cyberkriminalität erweitern – gleichzeitig aber neue Fragen zu Recht, Verantwortlichkeit und internationaler Wirkung aufwerfen.
