[Jährliches Update] Der Schnittpunkt von Völkerrecht und Cyberoperationen: Ein interaktives Cyberrecht-Toolkit

The Cyber Law Toolkit is a dynamic interactive web-based resource for legal professionals who work with matters at the intersection of international law and cyber operations. At its heart, the Toolkit currently consists of 19 hypothetical scenarios. Each scenario contains a description of cyber incidents inspired by real-world examples, accompanied by detailed legal analysis. The aim of the analysis is to examine the applicability of international law to the scenarios and the issues they raise. The Toolkit was formally launched on 28 May 2019 in Tallinn, Estonia. Its first general annual update was published on October 2, 2020.

en flag
nl flag
et flag
fi flag
fr flag
de flag
ru flag
es flag

Anmerkung des Redakteurs: Das Cyber Law Toolkit richtet sich hauptsächlich an Rechtsberufe mit funktionierenden Kenntnissen des Völkerrechts und behebt eine Lücke zwischen Wissenschaft und Praxis im Hinblick auf das internationale Cyberrecht. Obwohl es in diesem Bereich des Völkerrechts eine wachsende Zahl von Forschungen gibt, sind ihre Ergebnisse oft nicht leicht an die Bedürfnisse von Rechtsanwälten anpassbar, die täglich mit Cyber-Vorfällen umgehen. Das Toolkit versucht, diese Lücke zu schließen, indem es zugängliche und dennoch präzise praktische Lösungen für Szenarien bietet, die auf realen Beispielen von Cyberoperationen mit internationalem Recht basieren. Die neueste allgemeine jährliche Aktualisierung des Toolkits wurde am 2. Oktober 2020 veröffentlicht.

Auszug aus dem NATO Cooperative Cyber Defence Centre of Excellence (NATO CCDCOE)

Das Cyber Law Toolkit

Das Cyber Law Toolkit ist eine dynamische interaktive webbasierte Ressource für juristische Fachleute, die mit Fragen an der Schnittstelle zwischen internationalem Recht und Cyber-Operationen arbeiten. Das Toolkit kann auf verschiedene Arten erforscht und genutzt werden. Im Kern besteht es derzeit aus 19 hypothetischen Szenarien. Jedes Szenario enthält eine Beschreibung von Cyber-Vorfällen, die von realen Beispielen inspiriert sind, begleitet von einer detaillierten rechtlichen Analyse. Ziel der Analyse ist es, die Anwendbarkeit des Völkerrechts auf die Szenarien und die von ihnen aufgestellten Fragen zu untersuchen.

Aktuelle Beispielszenarien

Wahleinmischung: Im Vorfeld einer großen Wahl in Bundesstaat A führt Bundesstaat B eine Reihe von Cyber-Vorfällen durch, die darauf abzielen, die Wahlergebnisse zu beeinflussen. Diese Aktionen wirken sich in unterschiedlichem Maße auf den Wahlkampf, die Verwaltung der Wahlen sowie (letztendlich) auf die Wahlergebnisse aus. Bei der Analyse in diesem Szenario wird geprüft, ob eine der spezifischen Maßnahmen einzeln oder gemeinsam Verstöße gegen mehrere Regeln des Völkerrechts darstellen kann, insbesondere die Verpflichtung, die Souveränität anderer Staaten zu respektieren, das Interventionsverbot in den inneren Angelegenheiten der Staaten, und das Recht auf Privatsphäre von Einzelpersonen.

Cyberspionage Against Government Departments: Eine Militäreinheit des Staates B führt eine Cyberspionage-Operation gegen das Außenministerium des Staates A und seine untergeordneten Organisationen durch. Die bei dieser Operation gewonnenen Daten werden später im Internet von Staat B veröffentlicht. Die Analyse untersucht, ob die Operation von Staat B die Souveränität, das Interventionsverbot sowie das diplomatische und konsularische Recht verletzt.

Cyber Operations Against Power Grid: Geheimdienste eines Staates gefährden die Lieferkette eines industriellen Steuerungssystems in einem anderen Staat und erhalten dadurch Zugang zu einem Teil seines Stromnetzes. Nachfolgende Operationen senken das Netz, was zu längeren Stromausfällen führt. In diesem Szenario wird geprüft, ob derartige Vorfälle unter anderem eine verbotene Anwendung von Gewalt, ein Eingreifen in die inneren Angelegenheiten eines anderen Staates oder eine Verletzung der Souveränität eines anderen Staates darstellen können. Es wird spezifisch geprüft, ob eine eigenständige Verpflichtung besteht, Operationen gegen kritische Infrastrukturen anderer Staaten über Cybermittel zu unterlassen.

Ein Staat versäumt, einer internationalen Organisation zu helfen: Eine internationale Organisation wird Opfer von Cyberangriffen, deren Auswirkungen vom Gaststaat abwehren könnten und hätten hätten abwenden können. Das Szenario untersucht die Pflicht des Aufnahmestaats zur Sorgfaltspflicht und ob und unter welchen Umständen die internationale Organisation auf Gegenmaßnahmen zurückgreifen kann.

State Investigates and reponds to Cyber Operations Against Private Actors in seinem Territorium: Dieses Szenario betrachtet eine Reihe von bösartigen Cyber-Operationen, die aus dem Hoheitsgebiet eines Staates stammen und auf private Entitäten auf dem Territorium eines anderen ausgerichtet sind. Im Laufe der Ermittlungen und nachdem er keine Mitarbeit vom mutmaßlich verletzenden Staat erhalten hat, entschied sich der Opferstaat, ohne Zustimmung in die Netze des mutmaßlich verletzenden Staates einzudringen. Danach stellt der Opferstaat fest, dass das mutmaßlich beleidigte Militärpersonal des Staates an einigen der böswilligen Cyberoperationen beteiligt war. In diesem Szenario werden die Regeln der staatlichen Zuständigkeit analysiert, einschließlich der Zuweisung und des Zuständigkeitsgrades des Herkunftsstaats, der möglicherweise verstosenen internationalen Verpflichtungen und der Fähigkeit des Opferstaats, seine Reaktion nach dem Recht der Gegenmaßnahmen zu rechtfertigen.

Cyber-Gegenmaßnahmen gegen und Erhebungsstaat: Ein Land, das vermutlich hoch entwickelte Cyber-Fähigkeiten besitzt, scheitert immer wieder anderen Staaten bei der Bekämpfung von Cyberangriffen aus seinem Hoheitsgebiet. Nachdem eine weitere böswillige Cyber-Operation aus dem Hoheitsgebiet des ehemaligen Staates zahlreiche Opfer im Ausland verursacht, kommt der besagte Staat unter einen großangelegten DDoS-Angriff. Das Szenario berücksichtigt die internationale Verpflichtung zur Sorgfaltspflicht im Cyberkontext und die Fähigkeit der Staaten, Gegenmaßnahmen zu ergreifen, als Reaktion auf Verstöße gegen diese Verpflichtung zu ergreifen.

Leak of State Developated Hacking Tools: Dieses Szenario betrifft das Leck staatlich entwickelter Hacking-Tools, das Versagen eines Staates, Software-Unternehmen über Schwachstellen in ihren Produkten zu informieren, und die Wiederverwendung der Hacker-Tools für kriminelle Zwecke. Die rechtliche Analyse dieses Szenarios untersucht die Pflicht zur Sorgfaltspflicht, die Verpflichtung zur Wahrung der Souveränität und das Interventionsverbot.

Certificate Authority Hack: Das Szenario analysiert einen Cyber-Betrieb gegen eine Zertifizierungsstelle, die Dienstleistungen für private und öffentliche Einrichtungen erbringt, mit Hinweisen, dass die Operation von einem Staat in Auftrag gegeben oder ausgenutzt wurde. Was sind die einschlägigen Menschenrechtsverpflichtungen im Cyberspace? Welche anderen internationalen Verpflichtungen wurden möglicherweise verletzt?

Wirtschaftliche Cyberspionage: Private Entitäten werden Ziele wirtschaftlicher Cyberspionage durch oder im Namen eines Staates. Unter welchen Umständen kann Cyberspionage dem Staat zugerechnet und dieser nach internationalem Recht zur Verantwortung gezogen werden? Welche Maßnahmen, wenn überhaupt, kann der Opferstaat rechtmäßig als Antwort ergreifen?

Cyber Weapons Review: Staat A entwickelt neue Malware, die zur physischen Zerstörung feindlicher militärischer Ausrüstung fähig ist. Wenn sie freigegeben wird, dürfte sie jedoch auch zu einer vorübergehenden Beeinträchtigung der Nutzung ziviler Cyber-Infrastruktur führen, über die sie sich ausbreiten kann, um ihr Ziel zu erreichen. In diesem Szenario werden staatliche Verpflichtungen berücksichtigt, eine Waffenüberprüfung in Bezug auf derartige Cyber-Fähigkeiten durchzuführen, möglicherweise bereits in Friedenszeiten, bevor sie tatsächlich in der Zeit bewaffneter Konflikte eingesetzt werden können. Insbesondere wird geprüft, ob eine solche Malware eine von Natur aus wahllos ist und daher durch das humanitäre Völkerrecht verboten ist.

Verkauf von Überwachungsinstrumenten unter Missachtung internationaler Sanktionen: Trotz eines internationalen Embargos beschafft und nutzt ein Staat Exploits, die von einer privaten Einrichtung entwickelt wurden, um seine politischen Ziele zu verfolgen. Die Analyse in diesem Szenario untersucht, ob die Nutzung der Exploits gegen die Menschenrechtsverpflichtungen des amtierenden Staates oder die Souveränität anderer Staaten verstößt. Außerdem wird geprüft, welche Staaten für die Verletzung des Embargos verantwortlich sind und ob das Übereinkommen über die Cyberkriminalität diese Angelegenheit berührt.

Cyber Operations Against Computerdaten: Im Kontext eines bewaffneten Konflikts führt ein Kriegstreiber eine Reihe von Cyber-Operationen gegen die Datensätze durch, die mit dem anderen Kriegstreiber verbunden sind. Dazu gehören Daten, die für militärische Zwecke verwendet werden, wichtige zivile Datensätze und Daten, die der Propaganda des Feindes dienen. Die Analyse in diesem Szenario berücksichtigt die Rechtmäßigkeit von Cyberoperationen, die dazu bestimmt sind, verschiedene Arten von Datensätzen nach dem Gesetz des bewaffneten Konflikts zu beschädigen oder zu löschen. Dabei geht es insbesondere um die Frage, ob Daten als „Objekt“ für die Zwecke des Gesetzes bewaffneter Konflikte gelten und ob sie als solche in die Definition eines militärischen Ziels fallen.

Cyber Operations als Auslöser des Gesetzes bewaffneter Konflikte: Zwei Staaten und ein nichtstaatlicher Akteur engagieren sich in einer bewaffneten Konfrontation mit einer Kombination aus Cyber- und kinetischen Operationen. Der Außenstaat bietet der nichtstaatlichen Gruppe in ihrem Kampf gegen den Territorialstaat verschiedene Formen finanzieller und militärischer Unterstützung. Bei der Analyse in diesem Szenario wird geprüft, ob einer der relevanten Vorfälle die Anwendung des Rechts bewaffneter Konflikte auslöst, und es wird geprüft, ob die sich daraus ergebende Situation entweder als internationaler oder nicht internationaler bewaffneter Konflikt gelten würde.

Ransomware-Kampagne: Kommunale Regierungen und Gesundheitsdienstleister in einem Staat fallen Opfer einer Ransomware-Kampagne, die von einer nicht-staatlichen Gruppe in einem zweiten Staat gestartet wurde. Die Ransomware-Kampagne deaktiviert kommunale und Gesundheitsdienste im ersten Staat. Das Szenario untersucht, wie die Ransomware-Kampagne nach internationalem Recht klassifiziert werden kann. Zunächst wird geprüft, ob die Kampagne eine Verletzung einer internationalen Verpflichtung darstellt, die einem Staat zuzurechnen ist. Anschließend werden die möglichen rechtlichen Antworten erörtert, die dem Opferstaat zur Verfügung stehen.

Cyber-Täuschung während eines bewaffneten Konflikts: Zwei Staaten sind in einen bewaffneten Konflikt verwickelt. Um den Start einer großen militärischen Offensive zu erleichtern, führt einer der Staaten mehrere Cyber-Täuschungsoperationen gegen den anderen Staat durch. Bei der Analyse in diesem Szenario wird geprüft, ob die Operationen den einschlägigen Regeln des humanitären Völkerrechts entsprechen, einschließlich des Verbots der Perfidität und des Verbots der unsachgemäßen Verwendung international anerkannter Embleme, Zeichen und Signale.

Cyberangriffe gegen Schiffe auf hoher See: Dieses Szenario betrachtet eine Reihe von Cyberoperationen gegen Handelsschiffe und Kriegsschiffe auf hoher See aus Sicht des Völkerrechts. Es analysiert insbesondere Fragen im Zusammenhang mit der Gerichtsbarkeit und der Freiheit der Schifffahrt auf hoher See sowie ob die Cyberoperationen eine verbotene Gewaltanwendung darstellen.

Collective Responses to Cyber Operations: Ein Staat fällt einem breiten Spektrum von Cyber-Operationen zum Opfer und bittet seine Verbündeten um Hilfe. Insbesondere möchte der Staat, dass seine Verbündeten kollektiv und öffentlich die Cyberoperationen dem Täter Staat zuordnen, Reiseverbote und Vermögenswerte gegen die einzelnen Täter einfrieren und kollektive Gegenmaßnahmen gegen den zuständigen Staat ergreifen, um ihn dazu zu veranlassen, den Cyber einzustellen Operationen. Das Szenario untersucht die Rechtmäßigkeit dieser kollektiven Reaktionen auf Cyberoperationen aus der Sicht des Völkerrechts.

Rechtsstatus von Cyber-Betreibern während bewaffneter Konflikte: Während eines konventionellen bewaffneten Konflikts setzt ein Staat drei Gruppen von Personen für seine Cyber-Operationen gegen einen feindlichen Staat ein. Eine vierte, zivile Gruppe, schließt sich dem Kampf an und startet Cyber-Operationen gegen denselben Feind. Das Szenario analysiert die Rechtmäßigkeit der tödlichen Targeting dieser vier verschiedenen Arten von Cyber-Operatoren. Sie konzentriert sich insbesondere auf den Status und die Funktionen des jeweiligen Personals.

Hate Speech: Staat A nutzt eine Social-Media-Plattform mit Sitz in Staat B, um rassischen und religiösen Hass gegen eine ethnische und religiöse Minderheit in seinem eigenen Territorium anzustacheln. Die daraus resultierende Gewalt eskaliert zu einem nicht-internationalen bewaffneten Konflikt, der Cyberoperationen zwischen Staat A und Angehörigen der ethnischen und religiösen Minderheit umfasst, die sich zu einer bewaffneten Oppositionsgruppe organisieren. Das Szenario analysiert, ob die Vorfälle Verletzungen des Völkerrechts, einschließlich des Völkerrechts, des humanitären Völkerrechts und des internationalen Strafrechts, betrafen.

Darüber hinaus enthält das Toolkit mehr als zwanzig reale Vorfälle, die die Analyse (und Szenarien) des Projekts inspiriert haben. Zu diesen Beispielen gehören:

Ransomware-Angriff des Universitätsklinikums Brünn (2020)

Ransomware-Angriff der Gemeinde Texas (2019)

Afrikanische Union Hauptquartier Hack (2018)

SamSam Ransomware-Vorfälle (2018)

Französisch Präsidentschaftswahlen Leck (2017)

WannaCry (2017)

NotPetya (2017)

Betrieb Cloudhopper (2017)

Hassrede in Indien (2017)

Äthiopische Überwachung von Journalisten im Ausland (2017)

Wu Yingzhuo, Dong Hao und Xia Lei Anklage (2017)

Triton (2017)

DNC-E-Mail-Leck (2016)

Shadow Brokers veröffentlicht die NSA-Verwundbarkeiten (2016)

Das Hacking Team Hack (2015)

Cyberangriff des Stromnetzes in der Ukraine (2015)

Bundestagshack (2015)

Datenschutzverletzung des Amtes für Personalmanagement (2015)

Ukrainische Parlamentswahleinmischung (2014)

Chinesische PLA Einheit 61398 Anklagen (2014)

Sony Pictures Entertainment-Angriff (2014)

Stahlwerk in Deutschland (2014)

Shamoon (2012)

DigiNotar (2011)

Stuxnet (2010)

Georgien-Russland-Konflikt (2008)

Cyberangriffe gegen Estland (2007)

Über das Cyber Law Toolkit und Projekt

Das Toolkit wurde am 28. Mai 2019 in Tallinn, Estland, offiziell ins Leben gerufen. Das Projekt wird von einem Konsortium aus fünf Partnerinstitutionen durchgeführt: Czech National Cyber and Information Security Agency (NCISA), Internationales Komitee vom Roten Kreuz (IKRK), NATO Cooperative Cyber Defence Centre of Excellence (NATO CCDCOE)), University of Exeter und Wuhan University. Das Projektteam besteht aus Dr. Kubo Mačák (Exeter), Generalredakteur, Herrn Tomáš Minárik (NCISA), Geschäftsführender Redakteur, und Frau Taťána Jančárková (NATO CCDCOE), Szenario-Editor. Die einzelnen Szenarien und das Toolkit wurden von einem Team von mehr als 30 externen Experten und Peer-Reviewern überprüft. Das Toolkit ist eine interaktive Ressource, die kontinuierlich weiterentwickelt und aktualisiert wird. Das erste allgemeine jährliche Update wird am 2. Oktober 2020 veröffentlicht.

Erfahren Sie mehr über das Toolkit und das Projekt im Cyber Law Toolkit

Zusätzliche Lesung

Von der proaktiven Erkennung bis zur Überprüfung von Datenverletzungen: Erkennung und Extraktion sensibler Daten mit Ascema

Neu von NIST: Integration von Cybersicherheit und Enterprise Risk Management (ERM)

Quelle: ComplexDiscovery

eDiscovery Fusionen, Übernahmen und Investitionen im Jahr 2020

Since beginning to track the number of publicly highlighted merger, acquisition,...

Relativitätstheorie erwirbt VerQu

According to Relativity CEO Mike Gamson, "It's imperative that the legal...

eDiscovery Fusionen, Übernahmen und Investitionen im vierten Quartal 2020

From Nuix and DISCO to Exterro and AccessData, the following findings,...

DISCO schließt Finanzierungsrunde von 100 Millionen US-Dollar ab

According to DISCO CEO Kiwi Camara, “Legaltech is booming now, and...

Eine neue Ära in eDiscovery? Rahmen des Marktwachstums durch die Linse von sechs Epochen

There are many excellent resources for considering chronological and historiographical approaches...

Ein eDiscovery-Markt-Mashup: 2020-2025 Weltweiter Überblick über Software und Services

While the Compound Annual Growth Rate (CAGR) for worldwide eDiscovery software...

Die Baseline zurücksetzen? eDiscovery-Marktgrößenanpassungen für 2020

An unanticipated pandemeconomic-driven retraction in eDiscovery spending during 2020 has resulted...

Heim oder weg? Überlegungen zur Größenbestimmung und Preisgestaltung im eDiscovery-Sammlungsmarkt

One of the key home (onsite) or away (remote) decisions that...

Fünf großartige Lesungen auf eDiscovery für Januar 2021

From eDiscovery business confidence and operational metrics to merger and acquisition...

Fünf großartige Lesungen auf eDiscovery für Dezember 2020

May the peace and joy of the holiday season be with...

Fünf großartige Lesungen auf eDiscovery für November 2020

From market sizing and cyber law to industry investments and customer...

Fünf große Lesevorgänge auf eDiscovery für Oktober 2020

From business confidence and captive ALSPs to digital republics and mass...

Nur eine Frage der Zeit? HayStackID startet neuen Service für die Erkennung und Überprüfung von Datenschutzverletzungen

According to HaystackID's Chief Innovation Officer and President of Global Investigations,...

Es ist ein Spiel! Fokussierung auf die Gesamtkosten der eDiscovery-Überprüfung mit ReviewRight Match

As a leader in remote legal document review, HaystackID provides clients...

Von der proaktiven Erkennung bis zur Überprüfung von Datenverletzungen: Erkennung und Extraktion sensibler Daten mit Ascema

A steady rise in the number of sensitive data discovery requirements...

A Running List: Top 100+ eDiscovery Providers

Based on a compilation of research from analyst firms and industry...

Nicht so herausragend? Operative Metriken von eDiscovery im Winter 2021

In the winter of 2021, eDiscovery Business Confidence Survey more...

Ergebnisse der eDiscovery-Umfrage zum Geschäftsvertrauen Winter 2021

This is the twenty-first quarterly eDiscovery Business Confidence Survey conducted by...

High Five? Ein aggregierter Überblick über fünf halbjährliche eDiscovery-Preisumfragen

As we are in the midst of a pandemic that has...

Relevanz und Realität ausgleichen? Ergebnisse der eDiscovery-Preisumfrage Winter 2021

Based on the complexity of data and legal discovery, it is...