Globale Regeln sollen für mehr Cybersicherheit sorgen

Die Global Commission on the Stability of Cyberspace (GCSC), eine globale Organisation zur Förderung der Sicherheit und Stabilität im Cyberspace, hat den Bericht "Advancing Cyberstability" veröffentlicht. In einer dreijährigen Mission habe die Kommission Vorschläge für Normen und Policen im Cyberspace formuliert, wie es im Bericht heisst. Ziel sei die Erhöhung der Sicherheit und Stabilität im Cyberspace. Ausserdem würden Rahmenbedingungen vorgeschlagen, die verantwortungsvolles Handeln von staatlichen und nichtstaatlichen Gruppen innerhalb des Cyberspace fördern sollen.

Die Gruppe Organisation hat einige namhafte Partner, darunter die Regierung der Niederlande und Microsoft. Zu den Sponsoren gehört unter anderen das Eidgenössisches Departement für auswärtige Angelegenheiten (EDA).

Die vier grundlegenden Prinzipien

Die GCSC hat nach eigenen Angaben vier Prinzipien identifiziert, die kritisch für die Cyberstabilität sind. Sie bilden die Grundlage für die Rahmenbedingungen. Bei den Prinzipien handelt es sich um folgende Punkte:

• Verantwortung: Jeder im Cyberspace ist für die Stabilität mitverantwortlich.

• Zurückhaltung: Weder staatliche noch nichtstaatliche Akteure sollen mit ihren Aktionen die Stabilität des Cyberspace gefährden.

• Die Notwendigkeit, aktiv zu werden: Staatliche wie nichtstaatliche Akteure sollen vernünftige und angemessene Schritte zur Sicherung der Stabilität im Cyberspace unternehmen.

• Respekt für Menschenrechte: Anstrengungen, die Stabilität im Cyberspace zu gewährleisten, müssen sowohl die Menschenrechte als auch das Gesetz respektieren.

Die acht Normen

Basierend auf den vier Prinzipien hat die GCSC acht Normen formuliert, die im Cyberspace gelten sollen.

1. Staatliche und nichtstaatliche Akteure sollen keine Aktivitäten durchführen oder bewusst zulassen, die absichtlich die generelle Verfügbarkeit oder Integrität des öffentlichen Kerns des Internets beschädigen. Das würde auch eine Beschädigung des Cyberspace bedeuten.

2. Weiterhin sollen diese Akteure keine Aktionen im Cyberspace verfolgen, unterstützen oder erlauben, welche die technische Infrastruktur stören, die es für Wahlen, Referenden oder Volksabstimmungen braucht.

3. Zudem dürfen diese Akteure keine Produkte oder Dienstleistungen manipulieren, die sich in der Entwicklung oder der Produktion befinden, noch dürfen solche Manipulationen zugelassen werden, wenn diese die Stabilität des Cyberspace beeinträchtigen.

4. Auch dürfen diese Akteure die ICT-Ressourcen der Öffentlichkeit nicht für Botnetze oder ähnliche Zwecke einsetzen.

5. Die Staaten sollten verfahrenstechnisch transparente Rahmenbedingungen schaffen, um zu beurteilen, ob und wann sie nicht öffentlich bekannte Schwachstellen oder Fehler, die ihnen in Informationssystemen und -technologien bekannt sind, offenlegen sollten. Die Standardvoraussetzung sollte zugunsten der Offenlegung sein.

6. Entwickler und Hersteller von Produkten und Dienstleistungen, von denen die Stabilität des Cyberspace abhängt, sollten 1. die Sicherheit und Stabilität in den Vordergrund stellen, 2. angemessene Massnahmen ergreifen, um sicherzustellen, dass ihre Produkte oder Dienstleistungen keine signifikanten Schwachstellen haben, und 3. Massnahmen ergreifen, um dennoch aufgedeckte Schwachstellen rechtzeitig anzugehen. Dieser Prozess sollte transparent sein. Alle Akteure sind verpflichtet, Informationen über Schwachstellen auszutauschen, um böswillige Cyberaktivitäten zu verhindern oder zu verringern.

7. Die Staaten sollten geeignete Massnahmen ergreifen, inklusive Gesetze und Vorschriften, um die grundlegende "Cyberhygiene" zu gewährleisten.

8. Nichtstaatliche Akteure sollten sich nicht anstössig verhalten. Cyberbetriebe und staatliche Akteure sollten solche Aktivitäten verhindern und reagieren, wenn diese auftreten.

Die sechs Empfehlungen

Abschliessend hat die GCSC sechs Vorschläge formuliert, welche die Notwendigkeit des Multistakeholder-Modells der GCSC unterstreichen, die Annahme der Normen bewerben und wie diese umgesetzt werden könnten.

1. Staatliche und nichtstaatliche Akteure verabschieden und implementieren Normen, die die Stabilität des Cyberspace erhöhen. Das soll durch die Förderung von Zurückhaltung und die Förderung von Massnahmen bewerkstelligt werden.

2. Ausserdem sollen diese Akteure im Einklang mit ihren Verantwortlichkeiten und Einschränkungen angemessen auf Normverletzungen reagieren. Sie sollen sicherstellen, dass diejenigen, die gegen die Regelverstösse begehen, vorhersehbare und sinnvolle Konsequenzen tragen.

3. Weiterhin sollen diese Akteure sowie internationale Institutionen verstärkte Anstrengungen zur Schulung des Personals und zum Aufbau von Kapazitäten sowie Fähigkeiten unternehmen. Zudem soll das Verständnis für die Bedeutung der Stabilität des Cyberspace gefördert und die unterschiedlichen Bedürfnisse verschiedener Parteien berücksichtigt werden.

4. Die staatlichen und nichtstaatlichen Akteure sammeln, teilen, überprüfen und veröffentlichen Informationen über Verstösse gegen Normen. Dasselbe gilt für die Auswirkungen solcher Aktivitäten.

5. Die Akteure etablieren und unterstützen Interessensgemeinschaften, um zur Stabilität des Cyberspace beizutragen.

6. Es wird ein ständiger Mechanismus für die Einbeziehung mehrerer Interessensgruppen eingerichtet, um Stabilitätsfragen anzugehen. Dabei sollen Staaten, der Privatsektor (einschliesslich der technischen Gemeinschaft) und die Zivilbevölkerung angemessen beteiligt und konsultiert werden.