Der Cyberraum als weitere Front des Krieges

Die Ukraine als Übungsplatz für russische Cyberattacken

Nach der Revolution der Würde und der beginnenden russischen Aggression 2014 wurden Cyberangriffe für die Russische Föderation (RF) ein weiteres Instrument der Kriegsführung gegen die Ukraine. Angriffsziele waren staatliche Institutionen, die Energieversorgung, Medien, Unternehmen und die kritische Infrastruktur.

Einer der ersten größeren Angriffe galt der Zentralen Wahlkommission bei den Präsidentenwahlen von 2014. Damals versuchten Hacker in die Arbeit des Systems einzudringen und auf der Website der Wahlkommission gefälschte Wahlergebnisse zu platzieren. Nach Angaben der CEPA gelang es, den Angriff zu stoppen, daher blieb er ohne Einfluss auf die Wahlergebnisse. Obwohl die Attacke schnell abgewehrt wurde, zeigte der russische „Erste Kanal“ schon am Folgetag in den Nachrichten eine angebliche „Seite der Wahlkommission“ mit gefälschten Resultaten.

Im nächsten Jahr richtete die Gruppe „Sandworm“ einen Angriff auf das ukrainische Energiesystem, durch den annähernd 230.000 Haushalte ohne Strom verblieben. Am 17. Dezember 2016 kam es in der Ukraine zu einem weiteren derartigen Vorfall. Diesmal war jedoch ein Teil von Kyjiv betroffen. Laut einem Bericht des Staatliche Dienstes für spezielle Kommunikation und Informationsschutz der Ukraine werden Sandworm von 2022-2024 bereits 80 Angriffe zugeschrieben, durchschnittlich zwei pro Monat.

2017 setzte Russland den Virus NotPetya gegen die Ukraine ein. Er begann mit einer Attacke auf ukrainische Systeme, um die Situation in der Ukraine zu destabilisieren. Allerdings breitete er sich schnell weltweit aus und bewirkte milliardenschwere Verluste bei Unternehmen in Europa, Asien und den USA. Damals bezeichnete das Weiße Haus NotPetya als den zerstörerischsten und teuersten Cyberangriff in der Geschichte. Im britischen Außenministerium hieß es, Ziel des Angriffs sei gewesen, die Arbeit der ukrainischen staatlichen Institutionen und der Finanz— und Energiesektoren der Wirtschaft zu stören.

Im selben Jahr erklärte Valentyn Petrov, der damalige Leiter des Dienstes für Fragen der Informationssicherheit im Apparat des Nationalen Rats für Sicherheit und Verteidigung, dass die russischen Geheimdienste und die mit ihm zusammenhängenden Hackergruppen die Ukraine als Testplatz für neue Methoden nutzten, um die Infrastruktur lahmzulegen.

Veränderungen in der russischen Taktik bei Cyberattacken

Nach Beginn der Vollinvasion setzte Russland die Cyberattacken fast parallel zu den Schlägen auf dem Schlachtfeld fort. Am 24. Februar 2022, etwa eine Stunde nach Beginn der Invasion wurde das Satelliten-Netz Viasat attackiert. Das eigentliche Ziel war vermutlich die ukrainische Militärkommunikation, aber die Folgen bekamen auch zivile Nutzer und Unternehmen in anderen europäischen Ländern zu spüren.

Der staatlichen Kommunikationsbehörde zufolge nimmt die Zahl der registrierten Cyber-Zwischenfälle seit der Vollinvasion jährlich stark zu: 2021 waren es 1.350, 2022 — 2.194, 2023 — 2.543, 2024 — bereits 4.315 und 2025 fast 6.000. Dabei veränderte sich diesem Bericht zufolge allmählich die russische Taktik. Während der Feind zu Beginn der Vollinvasion teilweise auf destruktive Angriffe setzte, so konzentrierte er sich jetzt mehr auf Spionage, auf das verdeckte Eindringen in die Systeme und den Gewinn von Informationen. 2024 lag der Fokus auf Organisationen, die unmittelbar mit Militäroperationen zu tun hatten, sowie auf Dienstleistungen, die die Militärbemühungen unterstützten.

2024 erlebte die Ukraine einen der in letzter Zeit größten Cyberangriffe auf staatliche Register. Infolge des Angriffs, der russischen Hackern zugeschrieben wird, ist derzeit die Arbeit der relevanten Systeme des Justizministeriums zum Erliegen gekommen. Nach den Worten des Leiters der Abteilung für Cybersicherheit des SBU, Volodymyr Karasteljov, wurde die Attacke von einer russischen Hacker-Gruppe durchgeführt. Der SBU hat festgestellt, dass sie mit der Hauptverwaltung Aufklärung des Generalstabs der russischen Streitkräfte in Verbindung stand.

Ein eigenes Ziel russischer Cyberattacken während des gesamten Krieges bleiben die ukrainischen Media. Telekanäle, Nachrichtenagenturen und Online-Plattformen werden oft gehackt, um von bekannten Medien aus als Nachrichten getarnte Fakes zu senden. Ein solcher Vorfall ereignete sich im Februar 2024. Nach Auskunft des Instituts für Massenmedien attackierten russische Hacker vom 18.-19. Februar mindestens sechs ukrainische Medienressourcen: Die Seiten “Telegraf”, „Apostrof“, „LIGA.net“, die Seite der „Ukrajinskaja pravda“ bei „X“ sowie die Telekanäle „Espreso“ und „Prjamyj“. Auf den gehackten Ressourcen platzierten die Hacker Desinformationen über eine angebliche „Zerschlagung“ von Elite-Abteilungen der ukrainischen Streitkräfte in Avdijivka durch die Russen.

Telekommunikationsmittel werden ebenfalls angegriffen. Von einer stabilen Verbindung hängen Mitteilungen über Luftalarm, Bankdienstleistungen, staatliche Dienstleistungen, die Arbeit von Unternehmen und die Möglichkeit der Menschen ab, auch bei Beschuss miteinander in Kontakt zu bleiben. Eine der größten Attacken war die auf „Kyjivstar“ vom 12. Dezember 2023: Durch den technischen Ausfall blieben Millionen von Abonnenten zeitweilig ohne Mobilverbindung und Internet.

Kann man Cyberattacken als Kriegsverbrechen qualifizieren?

Am 14. Juni 2024 meldete die Agentur Reuters, dass die Staatsanwälte des Internationalen Strafgerichtshofs (IStGH) russische Cyberattacken, die sich gegen die ukrainische zivile Infrastruktur richten, als mutmaßliche Kriegsverbrechen betrachten. Wenn genügend Beweismittel vorliegen, können Haftbefehle gegen die Beschuldigten ausgestellt werden.

Wenn in den Ermittlungen des IStGH Cyberattacken als mutmaßliche Kriegsverbrechen eingestuft werden, kann es im internationalen Recht zu einem Präzedenzfall kommen,

Im November 2023 erklärte der Generalstaatsanwalt Andrij Kostin gegenüber TIME; dass die Ukraine die russischen Cyberattacken als Kriegsverbrechen qualifiziert. Nach seinen Worten ist das ein äußerst komplizierter und fast präzedenzloser Prozess, bei dem Palantir und Microsoft den ukrainischen Juristen behilflich sind.

Diese Untersuchungen sind nicht nur für die Ukraine von Bedeutung, sondern auch für das gesamte internationale Recht. Die Genfer Konventionen verbieten Angriffe auf zivile Objekte, aber beim Cyberraum ist man sich bis heute nicht vollständig im Klaren darüber, was eigentlich als „Cyber-Kriegsverbrechen“ zu betrachten ist. So bleibt es eine offene Frage, ob Daten ein eigenes Angriffsziel darstellen und ob es sich bei ihrer Vernichtung um ein Kriegsverbrechen handelt, wenn dies zu ernsthaften Folgen für die Zivilbevölkerung führt.

Ins Zentrum der Aufmerksamkeit des IStGH können jedoch Angriffe auf die Energie-Infrastruktur und die Telekommunikation fallen. Reuters teilte mit, dass sich unter den Verdächtigen die Gruppe Sandworm befindet, von der schon oben die Rede war.

Der Angriff auf „Kyjivstar“ ist ein Beispiel dafür, weshalb Cyberattacken über einen rein „technischen Zwischenfall“ hinausgehen. Der Professor für internationales Recht Michael Schmitt, den Reuters zitiert, ist der Auffassung, dass das Hacken von „Kyjivstar“ möglicherweise die Kriterien für Kriegsverbrechen erfüllt, weil es für die Täter voraussehbar war, welche Folgen das für die Zivilbevölkerung haben musste.