Im Frühjahr 2015 spürte die Bundesrepublik, wie löchrig ihr eigener digitaler Schutzwall ist: Über infizierte E-Mails mit gefälschten Absenderadressen verschafften Hacker sich Zugang zu mehreren Rechnern im Netzwerk des Bundestages. Von 20 Gigabyte geraubten Daten war die Rede. Die Spur der Angriffe führte schnell zu einer Hackergruppe, die gute Verbindungen zum russischen Staat unterhalten soll. Die komplette IT-Infrastruktur des Parlaments musste ausgetauscht werden. Seitdem ist einiges passiert, damit solche Angriffe künftig besser abgewehrt werden können. 2018 ereignete sich ein kleinerer, aber ähnlicher Angriff.

Jetzt hat die Bundesregierung eine neue Institution auf den Weg gebracht, von der sie sich nicht weniger als die "Sicherstellung technologischer Innovationsführerschaft" erhofft: die "Agentur für Innovation in der Cybersicherheit". Sie soll ab 2019 technische Entwicklungen, die relevant für die innere und äußere Sicherheit sind, schnell und unbürokratisch fördern und vorantreiben. Dementsprechend sind Innen- und Verteidigungsministerium gleichberechtigt für die Agentur zuständig. Das große Vorbild ist die dem US-amerikanischen Verteidigungsministerium unterstellte Forschungsbehörde DARPA, die in ihrem 60-jährigen Bestehen viele Innovationen angestoßen hat, darunter das Internet selbst.

Das große Vorbild

Die Geschichte der DARPA beginnt - so weit die Parallelen zur neuen Behörde - mit einem Vorstoß aus Russland. Als die damalige UdSSR 1957 den Satelliten Sputnik in die Erdumlaufbahn schoss, blamierte sie damit die Raumfahrtforschung der USA. Präsident Dwight D. Eisenhower setzte zur technologischen Aufholjagd an und gründete vier Monate später die Forschungseinrichtung, damals noch unter dem Namen ARPA.

Seither koordiniert und finanziert die Behörde Forschungsprojekte, die während des Kalten Kriegs meist militärischer Natur waren. In der jüngeren Vergangenheit gab es immer wieder Wettbewerbe für Wissenschaftler und Hacker, zum Beispiel zur Verbesserung der Kommunikation mit Drohnen oder dem Schließen von Lücken in Sicherheitsnetzen. Das Jahresbudget der DARPA liegt bei über drei Milliarden US-Dollar.

200 Millionen Euro für vier Jahre

Die deutsche Version fällt etliche Nummern kleiner aus: In diesem Jahr stehen laut Verteidigungsministerium gerade einmal 15 Millionen Euro bereit. Danach soll das Budget rasch auf 40 bis 50 Millionen Euro steigen, zwischen 2019 und 2022 darf die Cyberagentur bis zu 200 Millionen Euro ausgeben. Das sei ein "guter Anfang", solle aber noch mehr werden, sagte Verteidigungsministerin Ursula von der Leyen (CDU) bei der gemeinsamen Vorstellung des Konzepts mit Innenminister Horst Seehofer (CSU). Der Standort, an dem die ersten 14 Mitarbeiter noch in diesem Jahr ihre Büros beziehen sollen, steht noch nicht fest. Insgesamt soll die GmbH, die komplett dem Bund gehört, bis zu 100 Menschen beschäftigen.

Die Cyberagentur soll ähnlich wie die DARPA arbeiten, Entwicklungen anstoßen und frühzeitig mit Risikokapital unterstützen, genau wie es Investoren in der Wirtschaft bei innovativen Start-up-Unternehmen tun. Das US-Vorbild hat in der Vergangenheit auf diese Weise grundlegenden technischen Neuerungen den Weg bereitet. Das Internet ist das bekannteste Beispiel, aber auch die Navigationstechnologie GPS und Sprachassistenten, wie sie in modernen Smartphones Standard sind, haben ihren Ursprung in DARPA-Projekten. "Da sieht man, wie breit die Möglichkeiten sind", sagte von der Leyen. Beide Minister erhoffen sich aus der Fördereinrichtung ähnliche "Sprunginnovationen" made in Germany; die heißen so, weil sie die technische Entwicklung sprunghaft vorantreiben. Damit soll die Bundesrepublik weniger abhängig von technologischen Entwicklungen aus anderen Ländern werden. Gleichzeitig soll die Agentur jedoch ein Netzwerk mit europäischen Partnern aufbauen. Ganz wie in den USA sollen auch Wettbewerbe und Challenges zum Repertoire der neuen Agentur gehören.

Scheitern gehört dazu

Die neue Agentur soll laut Innenminister Seehofer der "asymetrischen Bedrohungslage im Cyberraum, die sich immer weiter zuspitzt", Rechnung tragen. Damit ist die Bedrohung durch hochspezialisierte Hacker mit großen Ressourcen gemeint, der einzelne Nutzer wenig entgegenzusetzen haben. Auch Industrieunternehmen und Infrastrukturen wie Stromnetze sind bedroht.

"Wir rechnen damit, dass ein Teil der Forschungsvorhaben auch scheitern wird", sagte von der Leyen. Dafür würden andere den benötigten technologischen Fortschritt liefern. Man warte somit nicht mehr, bis ein Produkt marktreif wird, sondern "wir gehen selber jetzt raus, suchen das, was spannend ist in der Forschung, um dann mitzufinanzieren und viel schneller entscheiden können", sagte die Ministerin. Seehofer forderte den Mut zum Risiko ein, "ohne dass gleich Rechnungshof und andere die Bühne betreten". Der Bundesrechnungshof selbst mahnt an, Synergieeffekte beispielsweise mit dem Cyber Innovation Hub der Bundeswehr zu prüfen. Innovationen mit Wagniskapital zu fördern, stehe dem Bund grundsätzlich zu. Der Cyber Innovation Hub in Berlin wirbt Start-ups an, die Technologien für die Bundeswehr entwickeln sollen, darf jedoch nur kleinere Förderungen vergeben.

Tatsächlich gibt es bereits eine Vielzahl von Forschungs-Förderprogrammen und auch von Institutionen in Deutschland, die sich mit Cybersicherheit befassen. Trotzdem sei die Agentur als eigene Institution wichtig, sagt die Verteidigungsministerin: Die Cyberabwehrtruppe ZITIS sei angesichts 4000 bis 5000 Angriffen pro Tag bereits an ihrer Kapazitätsgrenze. Außerdem setze die Agentur einen Schritt früher an als alle anderen Einrichtungen nämlich beim Beginn der Grundlagenforschung.

Opposition befürchtet Militarisierung des Internets

"Mehr digitale Sicherheit würde uns allen auf jeden Fall gut tun", sagte Anke Domscheit-Berg, netzpolitische Sprecherin der Linken-Fraktion, der Deutschen Welle. Etwa bei Verschlüsselung und Open-Source-Software gebe es Bedarf - sie sei jedoch "skeptisch, ob eine Agentur, die zwischen Verteidigungs- und Innenministerium angesiedelt ist, hier den richtigen Schwerpunkt setzt. Fatal wäre, wenn jetzt statt zur Verteidigung zum Cyber-Angriff à la Hackback geblasen würde", sagte Domscheit-Berg. Ein Hackback ist ein gezielter Gegenschlag nach einem Cyberangriff. Die deutsche Rechtslage lässt derartige Angriffe bislang nicht zu; Innenminister Seehofer deutete jedoch vor einigen Wochen einen entsprechenden Gesetzentwurf an. Verteidigungsministerin von der Leyen sagte, die Bundeswehr müsse künftig Fähigkeiten wie Hackbacks beherrschen. "Auf einem ganz anderen Blatt steht, ob man sie einsetzt."

Der Grünen-Digitalpolitiker Konstantin von Notz beklagte gegenüber der DW: "Ursula von der Leyen und Horst Seehofer treiben die Militarisierung des digitalen Raums weiter voran." Als Rechtsstaat könne man "ein cyberpolitisches Wettrüsten mit Staaten wie China, Nordkorea und Russland nur verlieren". Er nannte die Digitalpolitik der Bundesregierung "hoch widersprüchlich" - die Agentur torpediere die Bemühungen des Auswärtigen Amts, das sich auf UN-Ebene für die Ächtung von Chemiewaffen einsetze.

Die Hoffnungen, die die Bundesregierung auf die neue Agentur setzt, liegen trotzdem hoch: "Deutschland soll bei der Cybersicherheit im internationalen Vergleich die Führung oder zumindest eine Spitzenposition einnehmen", sagte Innenminister Seehofer.

Parallel zur "Agentur für Innovation in der Cybersicherheit" hat die Bundesregierung am selben Tag noch eine weitere Institution gegründet. Die "Agentur zur Förderung von Sprunginnovationen" von Forschungsministerin Anja Karliczek und Wirtschaftsminister Peter Altmaier (beide CDU) soll rein zivile Entwicklungen fördern. Für die Jahre 2019 bis 2022 gibt es dafür statt 200 jedoch nur gut 150 Millionen Euro.